Uzaktan kimlik doğrulama sözlüğü: 32 terim

Uzaktan kimlik doğrulama, üç ayrı alanın terimlerini aynı cümlede kullanan bir konu: mevzuat, biyometri ve yazılım. Sağlayıcı sunumlarında, BDDK metinlerinde ve ürün dokümanlarında aynı şey için farklı kelimeler geçiyor.

Bu sözlük, o kelimelerin karşılığını verir. Mevzuattan gelen terimlerde Türkçe resmî karşılık esas alınmıştır.

Süreç ve roller

Kimlik tespiti Bir kişinin kimliğine ilişkin bilgilerin alınması ve bu bilgilerin doğruluğunun teyit edilmesi. Mevzuatta “kimlik doğrulama”dan ayrı bir kavramdır: tespit kişinin kim olduğunu belirler.

Uzaktan kimlik tespiti Kimlik tespitinin, kişi ile kurum temsilcisinin fiziksel olarak aynı ortamda bulunmasına gerek kalmadan, çevrim içi olarak yapılması. Türk mevzuatındaki resmî terim budur; “uzaktan müşteri edinimi” bunun ticari karşılığıdır.

KYC (Know Your Customer) “Müşterini tanı”. Kimlik tespitini de kapsayan, ancak müşterinin işinin ve risk profilinin anlaşılmasını da içeren daha geniş uyum yükümlülüğü.

Sürekli iş ilişkisi Kurum ile müşteri arasında, tek seferlik bir işlemin ötesinde süreklilik taşıyan ilişki. Hesap açılışı bunun tipik örneğidir ve uzaktan kimlik tespiti yükümlülükleri çoğunlukla bu ilişkinin kurulmasına bağlanır.

Müşteri temsilcisi Uzaktan kimlik tespitini yürüten, bu konuda özel olarak eğitilmiş kurum personeli. BDDK ve MASAK düzenlemelerinde tanımlı bir roldür.

Görüntülü görüşme Kişi ile müşteri temsilcisinin çevrim içi, gerçek zamanlı ve kesintisiz görüntülü iletişimi. Türkiye’de uzaktan kimlik tespitinin uzun süre tek kabul edilen yöntemi buydu.

Onboarding / kayıt akışı Yeni müşterinin başvurudan hesabın kullanılabilir hale gelmesine kadar geçtiği adımların tamamı. Kimlik doğrulama bu akışın bir parçasıdır, tamamı değildir.

Step-up doğrulama Risk sinyali yükseldiğinde ek bir doğrulama adımının devreye sokulması. Örneğin düşük tutarlı bir işlemde istenmeyen ek kontrolün, limit yükseltmede istenmesi.

Belge ve okuma

Kimlik belgesi Mevzuatta, Türkiye Cumhuriyeti Kimlik Kartı Yönetmeliğinde tanımlanan kimlik kartını ifade eder. Her resmî belge bu tanıma girmez.

MRZ (Machine Readable Zone) Kimlik kartlarının ve pasaportların alt kısmındaki, < karakterleriyle doldurulmuş sabit biçimli makine okunur alan. ICAO 9303 standardına göre biçimlendirilir.

Kontrol hanesi (check digit) MRZ içindeki alanların doğru okunup okunmadığını sınayan, sabit bir algoritmayla hesaplanan rakam. Tutmuyorsa ya okuma hatalıdır ya da veri değiştirilmiştir.

OCR (optik karakter tanıma) Belgenin fotoğrafındaki yazının metne çevrilmesi. Veri girişini hızlandırır; belgenin gerçek olduğuna dair tek başına bir kanıt üretmez.

Yakın alan iletişimi (YAİ / NFC) Elektronik cihazların kısa mesafede temassız iletişim kurmasını sağlayan kablosuz teknoloji. Mevzuattaki Türkçe karşılık “yakın alan iletişimi”dir.

Temassız yonga Kimlik belgesinin içindeki, yakın alan iletişimiyle okunan çip. Belgedeki bilgilerin dijital ve imzalı kopyasını taşır.

ICAO 9303 Uluslararası Sivil Havacılık Teşkilatının makine okunur seyahat belgeleri standardı. Türk kimlik kartı ve biyometrik pasaportlar bu standarda göre yapılandırılır.

TEKB / YAKB Elektronik haberleşme mevzuatındaki kısaltmalar: temaslı iletişim kabiliyetini haiz elektronik kimlik belgesi (TEKB) ve yakın alan iletişimi kabiliyetini haiz elektronik kimlik belgesi (YAKB).

Görsel güvenlik unsurları Belgenin üzerindeki, kopyalanması zor fiziksel özellikler: giyoş deseni, gökkuşağı baskı, optik değişken mürekkep, gizli görüntü, hologram, mikro yazı. Mevzuatta “güvenlik ögeleri” olarak tanımlanır.

Kimlik Paylaşımı Sistemi (KPS) İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğünün, kimlik ve adres bilgilerinin doğrulanabildiği veri tabanı.

Biyometri ve canlılık

Biyometrik veri Bir kişiyi fiziksel ya da davranışsal özellikleriyle benzersiz biçimde tanımlayan veri. Yüz görüntüsü bunun en yaygın örneğidir. Türk mevzuatında özel nitelikli kişisel veridir.

Yüz eşleştirme Başvuranın yüzü ile belgedeki fotoğrafın aynı kişiye ait olup olmadığının karşılaştırılması.

Canlılık testi (liveness) Kameranın karşısındaki kişinin canlı ve o anda orada olduğunun tespiti. Yüz eşleştirmesinden ayrı bir adımdır ve ikisi birbirinin yerine geçmez.

Pasif canlılık Kullanıcıdan hiçbir eylem istemeyen canlılık tespiti. Doku, derinlik ve ışık tutarlılığı analiz edilir.

Aktif canlılık Kullanıcıdan bir eylem istenen canlılık tespiti: başını çevirmesi, gülümsemesi, ekrandaki bir noktayı takip etmesi.

Sunum saldırısı (presentation attack) Kameraya sahte bir şey gösterilmesi: basılı fotoğraf, ekranda oynatılan video, maske.

Enjeksiyon saldırısı (injection attack) Kamera akışının tümüyle baypas edilmesi; sanal kamera sürücüsü, emülatör veya kurcalanmış cihaz üzerinden sahte görüntünün doğrudan uygulamaya verilmesi. Doku analizi bu saldırıyı durduramaz.

PAD (Presentation Attack Detection) Sunum saldırılarının tespiti. Canlılık testinin standartlardaki teknik adı.

APCER / BPCER Canlılık tespitinin iki hata oranı: APCER sahte sunumların kaçının canlı sayıldığı, BPCER gerçek kullanıcıların kaçının reddedildiğidir. İkisi birbirinin aleyhine çalışır; yalnızca biri paylaşılıyorsa resim eksiktir.

Yanlış onay oranı (FAR / FMR) Sistemin, farklı iki kişiyi aynı kişi sayma olasılığı. Türk mevzuatında uzaktan kimlik tespitinde kullanılan yapay zekâ algoritmaları için bu orana sayısal bir üst sınır getirilmiştir.

ISO/IEC 30107 Sunum saldırısı tespitinin nasıl test edileceğini tanımlayan standart. Üçüncü bölümü (30107-3) test ve raporlama yöntemini belirler.

Mevzuat ve uyum

BDDK Bankacılık Düzenleme ve Denetleme Kurumu. Bankaların uzaktan kimlik tespitini düzenler.

MASAK Mali Suçları Araştırma Kurulu. Aklama ve terörizmin finansmanının önlenmesi kapsamındaki yükümlülükleri düzenler; uzaktan kimlik tespiti için yükümlüler genelinde geçerli usul ve esasları belirler.

SPK Sermaye Piyasası Kurulu. Aracı kurumlar, portföy yönetim şirketleri ve kripto varlık hizmet sağlayıcılar için uzaktan kimlik tespitini düzenler.

BTK Bilgi Teknolojileri ve İletişim Kurumu. Elektronik haberleşme sektöründe abonelik başvurularında kimlik doğrulamayı düzenler.

KVKK Hem 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun hem de Kişisel Verileri Koruma Kurumu’nun kısaltması olarak kullanılır. Biyometrik veri bu Kanun kapsamında özel nitelikli sayılır.

Aydınlatma yükümlülüğü Veri sorumlusunun; hangi verinin, hangi amaçla, ne kadar süreyle işlendiğini ve kimlere aktarıldığını ilgili kişiye bildirme yükümlülüğü. Doğrulama akışı başlamadan görünmesi gerekir.

Açık rıza Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay. 2024’teki kanun değişikliğinden sonra özel nitelikli verilerin işlenmesi için tek hukuki dayanak olmaktan çıkmıştır.

---

Bu terimlerin pratikte nasıl bir araya geldiğini merak ediyorsanız: uzaktan kimlik doğrulamanın nasıl çalıştığı, canlılık kontrolünün ne yapıp ne yapmadığı ve MRZ, OCR ile NFC arasındaki fark ayrı yazılarda ele alınıyor.