MRZ, OCR ve NFC arasındaki fark nedir?
Kimlik belgesi okumanın üç yöntemini — görsel OCR, MRZ ayrıştırma ve NFC çip okuma — karşılaştıran, hangisinin neyi kanıtladığını ve hangi durumda hangisinin yeterli olduğunu anlatan rehber.
Kimlik belgesi okuma denince üç farklı teknoloji kastediliyor olabilir ve aralarındaki fark, güvenlik açısından belirleyicidir. Üçü aynı bilgiyi verir; ama üçünün kanıt değeri birbirinden çok farklıdır.
OCR: belgenin üzerindekini okur
Optik karakter tanıma, kartın fotoğrafındaki yazıyı metne çevirir. Ad, soyad, kimlik numarası, doğum tarihi — hepsi görsel alandan okunur.
- Ne kanıtlar? Hiçbir şey. Sadece “kameraya bu yazının göründüğünü” söyler.
- Nerede işe yarar? Form doldurmayı hızlandırmak, kullanıcı deneyimini iyileştirmek.
- Zayıflığı? Photoshop’la düzenlenmiş bir kart görüntüsü, OCR açısından gerçek bir karttan ayırt edilemez.
OCR tek başına kimlik doğrulaması değildir. Veri girişi otomasyonudur.
MRZ: makine için tasarlanmış şerit
Machine Readable Zone, kartın alt kısmındaki o sabit genişlikli, < karakterleriyle dolu iki veya üç satırdır. ICAO 9303 standardına göre biçimlendirilmiştir.
MRZ’yi OCR’dan ayıran iki şey vardır:
Sabit format. Her karakterin yeri bellidir. Bu, okuma doğruluğunu serbest metne göre çok yükseltir.
Kontrol haneleri. MRZ içinde belge numarası, doğum tarihi ve son geçerlilik tarihi için ayrı ayrı, ve tümü için bir toplam olmak üzere kontrol haneleri bulunur. Bunlar basit bir ağırlıklı toplam algoritmasıyla hesaplanır (7-3-1 döngüsü).
Kontrol hanesi tutmuyorsa iki şeyden biri doğrudur: ya okuma hatalıdır ya da veri elle değiştirilmiştir. Her iki durumda da devam edilmemelidir.
- Ne kanıtlar? Verinin kendi içinde tutarlı olduğunu. Kartın gerçek olduğunu değil.
- Asıl işlevi? NFC çipini açmak için gereken erişim anahtarını üretmek.
MRZ’nin en kritik rolü genelde gözden kaçar: çipe giriş anahtarı MRZ’den türetilir. Bu yüzden arka yüz okuması, NFC adımının ön koşuludur.
NFC: çipi okur ve imzayı doğrular
Temassız çip, kartın üzerindeki bilgilerin aynısını dijital olarak taşır — ve bu kez kartı basan kurum tarafından imzalanmış olarak.
Çipten okunan veri, Document Security Object (SOD) içindeki hash’lerle karşılaştırılır; SOD imzası da ülkenin sertifika zinciriyle doğrulanır. Bu doğrulama geçerse elinizde kriptografik kanıt vardır.
- Ne kanıtlar? Verinin gerçek bir devlet belgesinden geldiğini ve değiştirilmediğini.
- Ekstra kazanç? DG2’deki yüksek çözünürlüklü biyometrik fotoğraf. Yüz eşleştirmesi için baskıdaki fotoğraftan çok daha iyidir.
- Zayıflığı? Çipsiz belgelerde uygulanamaz; cihaz desteği ve kullanıcı becerisi gerektirir.
Karşılaştırma
| OCR | MRZ | NFC | |
|---|---|---|---|
| Kaynak | Görsel alan | Makine şeridi | Temassız çip |
| Okuma doğruluğu | Orta | Yüksek | Tam |
| Kendi içinde tutarlılık | Yok | Kontrol haneleri | Hash doğrulama |
| Kriptografik kanıt | Yok | Yok | Var |
| Biyometrik fotoğraf | Düşük çözünürlük | Yok | Yüksek çözünürlük |
| Sahte belgeye direnç | Düşük | Düşük | Yüksek |
Hangisi ne zaman yeterli?
Sadece OCR yeterli olabilir: kimlik tespiti gerektirmeyen, sadece veri girişini hızlandırmak istediğiniz durumlar. Örneğin bir kargo formunda adres doldurmak.
OCR + MRZ yeterli olabilir: düşük riskli, tutarlılık kontrolünün yeterli olduğu işlemler. Yine de sahte belgeye karşı zayıftır.
NFC’yi tercih edin: finansal hesap açılışı, limit yükseltme, regüle edilmiş başvuru süreçleri. Kısacası, yanlış kişiyi içeri almanın gerçek bir maliyeti olduğu her yerde.
Buradaki ifadeye dikkat: Türkiye’de düzenleyici çerçeve çip okumayı tek kabul edilen yol saymaz; kademeli bir yapı kurar. Fotoğraf temassız yongadan alınabiliyorsa oradan alınır, alınamıyorsa belge üzerindeki baskıya ve belgenin görsel güvenlik unsurlarının doğrulanmasına düşülür.
Bu, akış tasarımı açısından belirleyicidir: çip okunamadığında duran bir ürün ile kademeli yapıyı gerçekten uygulayan bir ürün arasında, sahadaki tamamlanma oranı bakımından ciddi fark vardır. Sağlayıcıya sorulacak soru nettir: çip yanıt vermediğinde akış ne yapıyor?
Üçü birlikte nasıl çalışır?
Sağlıklı bir akış üçünü de kullanır ve her birinin çıktısını diğerini doğrulamak için besler:
- Ön yüz — OCR. Görsel alanlar okunur, kartın türü ve düzeni tanınır.
- Arka yüz — MRZ. Şerit ayrıştırılır, kontrol haneleri doğrulanır.
- Çapraz kontrol. OCR’dan okunan ad ve numara, MRZ’deki değerlerle karşılaştırılır. Uyuşmazlık, kartın kurcalandığına dair güçlü bir sinyaldir.
- NFC. MRZ’den türetilen anahtarla çip açılır, DG1 ve DG2 okunur, pasif doğrulama yapılır.
- Son çapraz kontrol. Çipten gelen DG1, MRZ ile birebir aynı olmalıdır. Değilse belge sahtedir.
Üçüncü ve beşinci adımdaki çapraz kontroller, tek başına hiçbir yöntemin yakalayamadığı manipülasyonları yakalar. Bir sağlayıcının bu kontrolleri yapıp yapmadığı, sorulmaya değer bir sorudur.
Merak edilenler
- MRZ nedir?
- MRZ, kimlik kartlarının ve pasaportların alt kısmındaki, küçüktür işaretleriyle doldurulmuş sabit biçimli makine okunur alandır. ICAO 9303 standardına göre biçimlendirilir ve içindeki kontrol haneleri sayesinde okuma hatası ya da veri değişikliği tespit edilebilir.
- OCR ile NFC arasındaki fark nedir?
- OCR belgenin fotoğrafındaki yazıyı metne çevirir; belgenin gerçek olduğuna dair kanıt üretmez. NFC ise kartın temassız çipini okur ve veriler kartı basan kurum tarafından imzalanmış olarak gelir. OCR veri girişini hızlandırır, NFC belgenin gerçekliğini kanıtlar.
- Sadece OCR ile kimlik doğrulama yapılabilir mi?
- Kimlik tespiti gerektirmeyen, yalnızca veri girişini hızlandırmak istediğiniz durumlarda yeterlidir. Yanlış kişiyi içeri almanın gerçek bir maliyeti olduğu her yerde yetersizdir, çünkü düzenlenmiş bir kart görüntüsü OCR açısından gerçek karttan ayırt edilemez.
- Çip okunamazsa ne olur?
- Akış durmamalıdır. Çip yanıt vermediğinde kartın görsel güvenlik unsurlarının doğrulanmasına düşülerek devam edilir. Çip okunamadığında duran bir ürün ile kademeli yapıyı uygulayan bir ürün arasında sahadaki tamamlanma oranı bakımından ciddi fark vardır.