Удостоверения личности в Apple Wallet

Добавление водительских прав или удостоверения личности в Apple Wallet

На iPhone пользователи могут коснуться кнопки добавления (+) вверху экрана в Apple Wallet, чтобы начать добавление водительских прав или удостоверения личности. Если во время настройки у пользователей есть часы Apple Watch, объединенные в пару, им предлагается также добавить водительские права или удостоверение личности в Apple Wallet на часах Apple Watch.

Пользователям сначала предлагается воспользоваться своим iPhone, чтобы отсканировать водительские права или удостоверение личности с обеих сторон. iPhone оценивает качество и тип изображений: они должны соответствовать требованиям органа власти штата. Эти изображения удостоверений личности зашифровываются на устройстве ключом, предоставленным органом власти штата, а затем передаются этому органу власти.

Чтобы гарантировать, что человек, добавляющий удостоверение личности в Apple Wallet, именно тот, кому оно принадлежит, пользователю предлагается снять Live Photo или сделать селфи. В некоторых случаях пользователя также могут попросить выполнить ряд движений головой или мимических движений. Устройство пользователя и Apple оценивают эти движения, чтобы снизить риск того, что кто‑то воспользуется чужим фото, видео или маской для добавления чужого удостоверения личности в Apple Wallet. Результаты анализа этих движений передаются органу власти штата, выдающему документы. Само видео, на котором показаны движения, не отправляется.

Перед тем как отправить селфи пользователя органу власти штата, выдающему документы, серверы Apple и устройство пользователя оценивают сходство человека на селфи с человеком, выполнившим движения головой и мимические движения. После завершения оценки устройство зашифровывает селфи и отправляет его органу власти штата, выдающему документы, для сопоставления с фото, сохраненным в базе данных органа власти для этого удостоверений личности.

Наконец, пользователям предлагается выполнить аутентификацию с помощью Face ID или Touch ID. Устройство пользователя связывает эти биометрические данные Face ID или Touch ID одного совпадения с удостоверением личности. Это позволяет убедиться, что только человек, добавивший удостоверение личности на iPhone, может его предъявлять; другую зарегистрированную биометрическую информацию нельзя использовать для того, чтобы разрешить предъявление удостоверения личности. Весь процесс выполняется исключительно на устройстве, и его данные не передаются органу власти штата.

Орган власти штата получает только ту информацию, которая необходима для настройки цифрового удостоверения личности. К этой информации относятся: изображения удостоверения личности с обеих сторон; данные, считанные со штрихкода PDF417; селфи, снятое пользователем во время подтверждения личности. Штат, выдающий удостоверение личности, также получает значение из одной цифры, которое используется для предотвращения мошенничества. Оно основано на модели использования устройства, а также данных настроек и личной информации из Аккаунта Apple. Окончательное решение о том, можно ли добавить удостоверение личности в Apple Wallet, принимает орган власти штата.

После того как орган власти штата одобрит добавление удостоверения личности и водительских прав в Apple Wallet, в Secure Element на iPhone, на котором имеется удостоверение личности, будет сгенерирована пара ключей для этого конкретного устройства. При добавлении на Apple Watch пара ключей генерируется в Secure Element часами Apple Watch.

После того как удостоверение появится на iPhone, информация из удостоверения будет храниться в Apple Wallet в зашифрованном виде, и она будет защищена с помощью Secure Enclave.

Добавление карты My Number Card в Apple Wallet

На iPhone пользователи могут добавлять свою карту My Number Card в Apple Wallet через приложение Mynaportal. Карта My Number Card в Apple Wallet поддерживает функциональность мобильного удостоверения личности и японской инфраструктуры открытых ключей (JPKI) в едином электронном удостоверении. Процесс настройки включает меры безопасности, требуемые Apple и эмитентом карты, чтобы гарантировать, что только законный владелец карты может добавлять и предъявлять свое удостоверение личности.

В приложении Mynaportal пользователю необходимо ввести PIN‑код из 4 цифр и буквенно-цифровой пароль, связанный с его физической картой My Number Card. Эти учетные данные позволяют удостоверить личность владельца карты, после чего приложение считывает данные с бесконтактной интегральной микросхемы (IC) и эмитент проверяет, что человек, добавляющий карту, имеет к ней законный доступ. В этот момент пользователю также необходимо ввести PIN‑код и пароль, чтобы получить доступ к серверным функциям апплета JPKI для своей карты My Number Card в Apple Wallet. Эти данные никуда не передаются с устройства пользователя и независимы от PIN‑кода и пароля физической карты пользователя.

Чтобы гарантировать, что человек, добавляющий карту My Number Card в Apple Wallet, является ее законным владельцем, пользователю предлагается сделать селфи и пройти проверку активности. Эмитент оценивает селфи и результаты проверки активности вместе с данными физической карты, чтобы снизить риск того, что кто‑то другой в мошеннических целях добавит удостоверение личности чужого человека в Apple Wallet.

Пользователи подтверждают свою личность с помощью Face ID или Touch ID, чтобы привязать единые биометрические данные к карте My Number Card в Apple Wallet. Это помогает гарантировать, что карту может предъявлять только человек, добавивший ее на iPhone. Другая зарегистрированная биометрическая информация не может использоваться для авторизации предъявления удостоверения или для выполнения операций, связанных с аутентификацией пользователя в JPKI.

Орган, выдавший карту, проверяет все предоставленные данные и принимает решение о том, авторизовать ли добавление карты My Number Card в Apple Wallet. Если авторизация получена, этот орган создает мобильное удостоверение личности и подписывает его цифровой подписью, чтобы защитить его от взлома или подделки. Пара ключей, сгенерированная iPhone в Secure Element, привязывает карту My Number Card в Apple Wallet к конкретному устройству, чтобы гарантировать, что ее не смогут скопировать и использовать посторонние.

Апплет JPKI, защищающий сертификаты цифровой подписи и идентификации пользователя, связанные с ними личные ключи, PIN‑код и пароль, предоставляется внутри Secure Element. Это гарантирует, что криптографические операции, связанные с цифровой подписью, а также операции сравнения PIN‑кода и пароля выполняются внутри среды с аппаратной защитой, а личные ключи никогда не становятся доступны вне Secure Element.

Когда карта My Number Card находится на iPhone, личная информация, указанная в удостоверении личности пользователя в Apple Wallet, и данные апплета JPKI хранятся в зашифрованном виде в защищенной среде Secure Enclave и Secure Element, соответственно. Эмитент гарантирует, что пользователи могут добавить на устройство только одну карту My Number Card, а каждый уникальный идентификатор можно добавить только на одно устройство, что обеспечивает дополнительную защиту от мошенничества.

Добавление Digital ID в Apple Wallet

На iPhone пользователи могут коснуться кнопки добавления (+) вверху экрана в Apple Wallet, чтобы начать создание своего Digital ID. Если во время настройки у пользователя есть часы Apple Watch, объединенные в пару, пользователю предлагается также добавить Digital ID в Apple Wallet на Apple Watch.

Сначала пользователю предлагается с помощью iPhone отсканировать машинно-читаемую часть страницы с фото в своем физическом паспорте. Если данные указывают, что паспорт выдан в поддерживаемом регионе, срок его действия не истек и он соответствует требованиям, iPhone предложит пользователю считать данные с чипа паспорта с помощью NFC. Соответствующие машинно-читаемые поля используются для установления сеанса связи с чипом по протоколам, указанным в ICAO 9303. С чипа считываются такие данные, как полное имя и портрет владельца документа, а также Document Security Object. Чтобы подтвердить подлинность этих данных, серверы Apple проверяют Document Security Object, в том числе хеши групп данных, подпись государственного органа, выдавшего документ, и сертификат владельца подписи документа, используя пассивную аутентификацию. Сертификат владельца подписи документа сравнивается с соответствующим сертификатом бюро сертификации подписавшей страны, чтобы гарантировать его подлинность и то, что он не был отозван.

Чтобы гарантировать, что человек, добавляющий Digital ID в Apple Wallet, является владельцем соответствующего паспорта, пользователю предлагается сделать селфи и пройти проверку активности. Устройство дает пользователю инструкции по выполнению необходимых действий, которые могут включать несколько движений головой и мимических движений. Полученные в результате этого селфи и видео движений зашифровываются на устройстве и выгружаются на серверы Apple для оценки. Затем оценивается сходство человека на селфи с человеком, выполнившим проверку активности, и с проверенным портретом, извлеченным из чипа паспорта.

Пользователю необходимо подтвердить свою личность с помощью Face ID или Touch ID, чтобы привязать биометрические данные к удостоверению. Этот механизм, поддерживаемый всеми удостоверениями в Apple Wallet, помогает гарантировать, что удостоверение может предъявлять только человек, который его добавил.

Apple оценивает предоставленные сведения, в том числе данные, считанные с чипа паспорта, селфи и видео активности, сделанные в ходе проверки личности, а также оценку достоверности, чтобы принять решение об одобрении или отклонении добавления Digital ID в Apple Wallet. Оценка достоверности используется для предотвращения мошенничества. Она вычисляется на основе способов использования устройства, данных настроек и информации о личном Аккаунте Apple.

Если одобрение получено, Apple создает Digital ID на основе проверенных паспортных данных. В Secure Element на iPhone генерируется пара ключей, привязывающая удостоверение личности пользователя к этому конкретному устройству. Если пользователь добавляет удостоверение на Apple Watch, пара ключей генерируется в Secure Element на Apple Watch. Хотя срок действия и другие данные удостоверений являются общими, Digital ID в Apple Wallet независим от паспорта, который использовался для его создания. Это означает, что пользователю необходимо удалить Digital ID со своих устройств и выполнить шаги по добавлению нового удостоверения в любой ситуации, когда физический паспорт пользователя аннулируется или выпускается заново.

Созданный Digital ID зашифровывается и отправляется на устройство. Когда устройство получает его, информация в Digital ID пользователя в Apple Wallet заново зашифровывается уникальным ключом устройства и сохраняется в защищенной среде Secure Enclave.

Использование удостоверения личности в Apple Wallet со считывателем удостоверений личности

Чтобы использовать удостоверение личности в Apple Wallet, потребуется подтвердить свою личность с помощью устройства с Face ID или Touch ID, связанного с удостоверением личности в Apple Wallet перед тем, как iPhone сможет предоставить информацию считывателю удостоверений личности.

Чтобы воспользоваться удостоверением личности из Apple Wallet на часах Apple Watch, потребуется разблокировать iPhone, выполнив аутентификацию с помощью Face ID или Touch ID. Аутентификация по внешнему виду или отпечатку пальца будет необходима каждый раз, когда пользователь надевает часы Apple Watch. Затем удостоверением личности из Apple Wallet можно будет пользоваться без аутентификации, пока пользователь снова не снимет часы Apple Watch. Эта возможность базируется на основополагающих функциях автоматической разблокировки, которые подробно описаны в разделе Автоматическая разблокировка устройств Apple.

Когда пользователь удерживает iPhone или Apple Watch рядом со считывателем удостоверений личности, на устройстве отображается подсказка о том, какая информация запрашивается, кем она запрашивается и будет ли она сохранена. После подтверждения с помощью связанного Face ID или Touch ID на iPhone либо двойного нажатия боковой кнопки на Apple Watch запрашиваемая информация о личности передается с устройства.

Если вместо Face ID или Touch ID включена какая-либо функция Универсального доступа, в том числе Управление голосом, Виртуальный контроллер или AssistiveTouch, то можно использовать код-пароль для доступа к информации и ее предъявления.

Передача данных о личности на считыватель удостоверений личности выполняется в соответствии со стандартом ISO/IEC 18013-5, который предусматривает несколько защитных механизмов для выявления и снижения рисков, связанных с безопасностью, а также противодействия им. К этим механизмам относятся обеспечение целостности данных удостоверения личности и противодействие его подделке, связывание с устройством, информированное согласие, а также обеспечение конфиденциальности данных при передаче по радиосвязи.

История предъявления хранится на устройстве и доступна пользователям для просмотра и удаления в Apple Wallet, а для удостоверений на Apple Watch — в приложении Apple Watch на объединенном в пару iPhone. В каждой записи о предъявлении указаны запрошенные поля, геопозиция предъявления и информация о том, намерена ли компания хранить эти данные. Для удостоверенных считывателей также указаны название и логотип компании.

Использование удостоверения личности в Apple Wallet с приложениями в iOS

Пользователи также могут делиться данными своего удостоверения личности в Apple Wallet с приложениями в iOS. Когда пользователь делится своим удостоверением личности с приложением, Apple Wallet извлекает и проверяет сертификат шифрования, зарегистрированный у разработчика этого приложения. Этот сертификат используется для шифрования информации, которой согласился поделиться пользователь.

В записи о предъявлении указано, какая именно информация запрошена, какое приложение ее запросило, намерено ли приложение хранить эти данные и для чего они запрошены. После авторизации с помощью связанного Face ID или Touch ID запрошенная информация зашифровывается Apple Wallet по протоколу HPKE и никогда не становится доступной для Apple. Apple Wallet периодически запрашивает у серверов Apple подтверждение того, что ключ аутентификации удостоверения личности не аннулирован, а удостоверение по‑прежнему действительно. Если в последнее время проверка не выполнялась, она может быть инициирована, когда пользователь поделится своим удостоверением личности в приложении.

История предъявления хранится на устройстве и доступна пользователям для просмотра и удаления в Apple Wallet. В каждой записи о предъявлении указаны: название приложения, причина запроса, запрошенные поля и информация о том, есть ли намерение хранить эти данные и в течение какого срока.

Использование удостоверения личности в Apple Wallet на сайтах

Пользователи могут делиться данными своего удостоверения личности в Apple Wallet с сайтами. Участвующие сайты используют API цифровых учетных данных W3C, чтобы запрашивать информацию о личности у поставщиков мобильных версий документов. Чтобы обеспечить возможность приема удостоверений в Apple Wallet, помимо типа документа и элементов данных запрос должен содержать значение функции антиповтора, информацию для шифрования ответа и подпись, необходимую устройству для удостоверения подлинности запроса. Сервер сайта генерирует пару ключей шифрования для запроса и обеспечивает безопасное хранение личного ключа для расшифровки ответа. С помощью механизма аутентификации в считывателе Apple Wallet удостоверяет подлинность запроса (как указано в стандартах ISO/IEC 18013‑5 и ISO/IEC 18013‑7, Приложение C), используя сертификат подписи, полученный владельцем сайта от Apple. Он также выполняет проверку домена на запрашивающем сайте, чтобы гарантировать, что запрос поступает из действительного источника.

В записи о предъявлении указано, какая именно информация запрошена, какой сайт ее запросил, намерен ли сайт хранить эти данные и для чего они запрошены. После того как пользователь авторизует предъявление запрошенной информации о личности, она зашифровывается Apple Wallet напрямую на сервере сайта по протоколу HPKE и никогда не становится доступной для Apple. Apple Wallet периодически запрашивает у серверов Apple подтверждение того, что ключ аутентификации удостоверения личности не аннулирован, а удостоверение по‑прежнему действительно. Если в последнее время проверка не выполнялась, она может быть инициирована, когда пользователь поделится своим удостоверением личности на сайте.

Получив зашифрованный ответ, сервер сайта должен проверить подлинность данных о личности. При этом подлинность органа, выдавшего документ, удостоверяется путем проверки сертификата органа, подписавшего документ, проверки его криптографической подписи и проверки хешей запрошенных элементов данных. Кроме того, чтобы гарантировать происхождение документа с конкретного устройства, для которого он был выдан, и предотвратить несанкционированное дублирование, необходимо удостоверить подлинность мобильной версии документа.

Чтобы пользователи могли предъявлять свои удостоверения из Apple Wallet на iPhone на других устройствах, где им может потребоваться подтвердить свою личность онлайн, поддерживаются переключение между устройствами Apple и предъявление на других платформах.

Переключение между устройствами Apple позволяет подтверждать личность на сайтах c iPad или Mac, используя удостоверение из Apple Wallet на iPhone. В этом случае система проверяет, что iPhone:

• связан с тем же личным Аккаунтом Apple;

• поддерживает соответствующую функциональность;

• совместим с запросом.

Затем устанавливается защищенное соединение между устройствами, и на iPhone появляется уведомление, позволяющее пользователю просмотреть и авторизовать запрос с iPhone. Кроссплатформенная поддержка также позволяет пользователям предъявлять свое удостоверение из Apple Wallet на других устройствах и в браузерах, соответствующих стандартам. При этом используется протокол FIDO CTAP для защиты целостности и конфиденциальности канала связи при передаче данных запроса и ответа между устройствами.

При переключении между устройствами Apple и предъявлении на других платформах вышеописанные функции безопасности применяются для проверки запросов, шифрования данных ответов, проверки подлинности личных данных и аутентификации устройства.

История предъявления хранится на устройстве и доступна пользователям для просмотра и удаления в Apple Wallet. В каждой записи о предъявлении указаны: название сайта, причина запроса, запрошенные поля и информация о том, намерен ли сайт хранить эти данные.