В этом году Ростелеком представил Единую Биометрическую Систему — проект идентификации клиентов банков для удаленного доступа к банковским услугам. Благодаря биометрической верификации пользователи имеют возможность удаленно пользоваться услугами, для которых ранее требовалось обязательное физическое присутствие с целью подтверждения личности.
Биометрические данные для системы регистрируются в отделениях банков согласно строгому регламенту. В этом посте мы расскажем, как мы реализовали сбор биометрии в Промсвязьбанке и постараемся развеять мифы, связанные с этим процессом.
В то время, как другие отрасли занимались на разных уровнях внедрением биометрии, банковская сфера могла только несмело с ней экспериментировать. Законодательство жестко ограничивает банки в вопросах идентификации личности физического лица и порядке предоставления услуг. За рубежом тем временем стартовали банковские кейсы крупных вендоров биометрических решений. Компания Nuance, например, собрала и успешно использует десятки слепков голосовой биометрии.
Лед тронулся, когда в России был запущен федеральный проект «Цифровая экономика». 31 декабря 2017 года президент подписал 482-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации». Первым этапом проекта «Цифровая экономика» было выбрано создание национальной биометрической платформы — Единой биометрической системы — государственной базы биометрических шаблонов граждан РФ. Вместе с этим с целью развития экономики был логично запущен проект «Удаленная идентификация клиентов банков».
Мы подключились к проекту с самого его начала, на уровне рабочей группы при Минкомсвязи и ЦБ РФ. Так мы получили время не только разобраться в самом процессе, но и хорошо продумать свои действия и скоуп работ по внедрению процесса. Кроме того, используя свои знания, можно было повлиять на концепт проекта, а также на формирование требований, которые в дальнейшем этот процесс будет предъявлять всем банкам.
Оценив документацию и комментарии партнеров из Ростелекома, Минкомсвязи и ЦБ, мы разделили сервис на четыре основные части.
АБС PSB-Retail – банковская система по обслуживанию физических лиц, в которой в том числе хранятся персональные (не биометрические) данные клиентов. Для этого проекта мы ее доработали и интегрировали с внутрибанковскими сервисами и порталом регистрации биометрических данных
Портал регистрации — основной элемент системы, включающий АРМ (автоматизированное рабочее место) оператора центра обслуживания. О нем расскажем подробнее.
Коннектор между порталом и СМЭВ (системой межведомственного электронного взаимодействия) — программный продукт, формирующий запросы и передающий их в СМЭВ для обработки государственными сервисами ЕСИА и ЕБС. Эту часть для нас сделал внешний вендор, который уже создавал для банка транспортные решения, в том числе и по взаимодействию со СМЭВ.
ЕСИА и ЕБС — государственные сервисы, Единая Система Идентификации и Аутентификации, Единая Биометрическая Система. Создаются и обслуживаются Ростелекомом. По ним мы получали всю документацию, описания, с ними банк взаимодействует через СМЭВ.
Портал регистрации данных был полностью разработан на стороне банка. С одной стороны, он должен четко взаимодействовать со всеми частями системы, перечисленными выше, и аппаратными средствами сбора данных. С другой — обеспечивать должный уровень безопасности обработки персональных и биометрических персональных данных и использовать для проверки образцов предоставляемую Ростелекомом библиотеку контроля качества.
Мы решили не использовать толстые клиенты, а создать веб-решение для простого развертывания на рабочих местах, централизации хранения и обработки данных и возможности гибкой доработки решения.
Наш продукт получил название АРМ ПАК «Регистратор. PSB-BIO» — Автоматизированное Рабочее Место Программно-Аппаратного Комплекса «Регистратор. BIO» для Промсвязьбанка. С аппаратной частью комплекса все было понятно — необходимо соответствовать требованиям к оборудованию (они перечислены в этом посте). А программную часть мы разработали сами. Начали с проработки функциональности — приложение должно уметь:
Процесс регистрации берет начало в АБС банка, для чего мы написали на бэке API для получения данных из сторонних систем. После того, как АБС сформирует поручение на регистрацию клиента, осуществляется вызов URL портала с передачей необходимых данных.
Теперь оператор АРМ начинать процесс регистрации. Он видит в портале карточку клиента с данными, которые будет использоваться в работы с ЕСИА и ЕБС. Здесь можно выбрать, какой адрес клиента будет использоваться при регистрации в ЕСИА (регистрации или проживания), а также указать информацию для доставки пароля (телефон или e-mail).
Далее автоматически создается запрос на поиск учетной записи клиента в ЕСИА. По результатам поиска сервис выдает возможные к использованию ВС ЕСИА. ВС — вид сведений, протокол передачи сведений определенного вида между информационными системами поставщика и потребителя. Если обнаруживается несколько учетных записей и ни одна не имеет статус подтвержденной, оператор сам выбирает, с какой работать.
Если учетная запись предусматривает несколько видов сведений, то оператор выбирает какой-либо из них под контролем сотрудника, имеющего полномочия контролера центрального офиса. Так мы перестраховываемся от отправки некорректных данных и исключаем возможность мошенничества на этом этапе.
После одобрения набора отправляемых данных оператор отправляет запрос в ЕСИА по выбранному виду сведений. В ответ СМЭВ подтверждает отправку запроса, и оператор получает OID учетной записи клиента в ЕСИА.
Теперь, при получении согласия клиента на регистрацию в ЕБС, мы начинаем собирать данные.
Сначала оператор настраивает корректное положение камеры относительно клиента. Ему помогает АРМ, выводя предварительный показ кадра с отметками расположения лица (перекрестье), угла наклона головы. Также показывается числовая информация: разрешение, размер изображения, угол наклона головы и расстояние между глаз. Вместе с этим идут подсказки для оператора.
После настройки положения камеры оператор нажимает кнопку старта съемки. Сервис делает снимки, проверяет их соответствие требованиям Ростелекома и выводит информацию оператору — пройдена проверка или нет, что надо сделать клиенту (опустить подбородок, повернуть голову и т.д.).
Завершив этот этап, АРМ автоматически переходит к записи образцов голоса. Клиент трижды повторяет случайно сгенерированную последовательность цифр от 0 до 9 в трех стандартных последовательностях. После каждой записи библиотека контроля качества проверяет ее. Кстати, эту библиотеку разработали сотрудники Промсвязьбанка.
Затем в записях проставляется начало и конец, они объединяются в одну и отправляются в ЕБС. После прохождения контроля у контролера центрального офиса биометрические образцы передаются в коннектор для формирования и подписания пакета, передачи в СМЭВ и далее в ЕБС.
После получения ответа от ЕБС на экран оператора выводится карточка окончания регистрации. А клиенту по результатам регистрации приходит сообщение из ЕСИА.
Вот так происходит регистрация данных в Промсвязьбанке для Единой биометрической системы.
Мы знаем, что новая система вызывает у некоторых людей вопросы. Прокомментируем несколько популярных:
«Банки будут владеть моими данными и мошенничать». Нет, банки просто не получают доступа к биометрическим данным клиентов и физических лиц. Банки регистрируют физическое лицо (клиента в ЕСИА), отправляют в ЕБС фотографию и запись голоса надлежащего качества. Мошенничество невозможно без биометрических шаблонов ЕБС, которые на стороне банков не создаются. В процессе идентификации в ЕСИА банки не участвуют, а только получают итоговый статус этой идентификации.
«Мои данные будут использовать посторонние». Мы часто слышим реплики типа «за меня кредит другой возьмет», «жена с моим фото будет иметь доступ к моим счетам». Нет. Технология биометрии предусматривает проверку методом Liveness — то есть проверяется, что на другом конце находится живой человек. Для этого непредсказуемо меняется порядок произнесения фраз или цифр, а также оценивается движение человека, мимика, движение губ при верификации лица. Такие мультимодальные биометрические признаки повышают надежность метода.
«За нами следят и поэтому всех обязывают сдавать данные». Нет, сдача биометрии — дело исключительно добровольное. Конечно, со временем те, кто имеют учетные записи в ЕСИА и ЕБС, смогут получать больше интересных предложений и услуг и значительно быстрее. Но решение о сдаче биометрии остается всегда за клиентом.
Биометрические данные для системы регистрируются в отделениях банков согласно строгому регламенту. В этом посте мы расскажем, как мы реализовали сбор биометрии в Промсвязьбанке и постараемся развеять мифы, связанные с этим процессом.
В то время, как другие отрасли занимались на разных уровнях внедрением биометрии, банковская сфера могла только несмело с ней экспериментировать. Законодательство жестко ограничивает банки в вопросах идентификации личности физического лица и порядке предоставления услуг. За рубежом тем временем стартовали банковские кейсы крупных вендоров биометрических решений. Компания Nuance, например, собрала и успешно использует десятки слепков голосовой биометрии.
Лед тронулся, когда в России был запущен федеральный проект «Цифровая экономика». 31 декабря 2017 года президент подписал 482-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации». Первым этапом проекта «Цифровая экономика» было выбрано создание национальной биометрической платформы — Единой биометрической системы — государственной базы биометрических шаблонов граждан РФ. Вместе с этим с целью развития экономики был логично запущен проект «Удаленная идентификация клиентов банков».
Мы подключились к проекту с самого его начала, на уровне рабочей группы при Минкомсвязи и ЦБ РФ. Так мы получили время не только разобраться в самом процессе, но и хорошо продумать свои действия и скоуп работ по внедрению процесса. Кроме того, используя свои знания, можно было повлиять на концепт проекта, а также на формирование требований, которые в дальнейшем этот процесс будет предъявлять всем банкам.
Как мы собираем биометрию
Оценив документацию и комментарии партнеров из Ростелекома, Минкомсвязи и ЦБ, мы разделили сервис на четыре основные части.
АБС PSB-Retail – банковская система по обслуживанию физических лиц, в которой в том числе хранятся персональные (не биометрические) данные клиентов. Для этого проекта мы ее доработали и интегрировали с внутрибанковскими сервисами и порталом регистрации биометрических данных
Портал регистрации — основной элемент системы, включающий АРМ (автоматизированное рабочее место) оператора центра обслуживания. О нем расскажем подробнее.
Коннектор между порталом и СМЭВ (системой межведомственного электронного взаимодействия) — программный продукт, формирующий запросы и передающий их в СМЭВ для обработки государственными сервисами ЕСИА и ЕБС. Эту часть для нас сделал внешний вендор, который уже создавал для банка транспортные решения, в том числе и по взаимодействию со СМЭВ.
ЕСИА и ЕБС — государственные сервисы, Единая Система Идентификации и Аутентификации, Единая Биометрическая Система. Создаются и обслуживаются Ростелекомом. По ним мы получали всю документацию, описания, с ними банк взаимодействует через СМЭВ.
АРМ регистрации биометрических данных
Портал регистрации данных был полностью разработан на стороне банка. С одной стороны, он должен четко взаимодействовать со всеми частями системы, перечисленными выше, и аппаратными средствами сбора данных. С другой — обеспечивать должный уровень безопасности обработки персональных и биометрических персональных данных и использовать для проверки образцов предоставляемую Ростелекомом библиотеку контроля качества.
Мы решили не использовать толстые клиенты, а создать веб-решение для простого развертывания на рабочих местах, централизации хранения и обработки данных и возможности гибкой доработки решения.
Наш продукт получил название АРМ ПАК «Регистратор. PSB-BIO» — Автоматизированное Рабочее Место Программно-Аппаратного Комплекса «Регистратор. BIO» для Промсвязьбанка. С аппаратной частью комплекса все было понятно — необходимо соответствовать требованиям к оборудованию (они перечислены в этом посте). А программную часть мы разработали сами. Начали с проработки функциональности — приложение должно уметь:
- получать данные из стороннего приложения (в нашем случае это АБС Банка);
- предоставлять удобную среду для регистрации биометрии — с подсказками для оператора;
- максимально автоматизировать весь процесс получения биометрических образцов;
- отправлять данные для формирования запроса в коннектор и получение ответа через банковскую шину данных;
- учитывать требования безопасности в работе с персональными и биометрическими персональными данными;
- логировать действия системы, ее пользователей и администратора;
- учитывать специфику требований к оборудованию, так и к ПО.
Процесс регистрации берет начало в АБС банка, для чего мы написали на бэке API для получения данных из сторонних систем. После того, как АБС сформирует поручение на регистрацию клиента, осуществляется вызов URL портала с передачей необходимых данных.
Теперь оператор АРМ начинать процесс регистрации. Он видит в портале карточку клиента с данными, которые будет использоваться в работы с ЕСИА и ЕБС. Здесь можно выбрать, какой адрес клиента будет использоваться при регистрации в ЕСИА (регистрации или проживания), а также указать информацию для доставки пароля (телефон или e-mail).
Далее автоматически создается запрос на поиск учетной записи клиента в ЕСИА. По результатам поиска сервис выдает возможные к использованию ВС ЕСИА. ВС — вид сведений, протокол передачи сведений определенного вида между информационными системами поставщика и потребителя. Если обнаруживается несколько учетных записей и ни одна не имеет статус подтвержденной, оператор сам выбирает, с какой работать.
Если учетная запись предусматривает несколько видов сведений, то оператор выбирает какой-либо из них под контролем сотрудника, имеющего полномочия контролера центрального офиса. Так мы перестраховываемся от отправки некорректных данных и исключаем возможность мошенничества на этом этапе.
После одобрения набора отправляемых данных оператор отправляет запрос в ЕСИА по выбранному виду сведений. В ответ СМЭВ подтверждает отправку запроса, и оператор получает OID учетной записи клиента в ЕСИА.
Теперь, при получении согласия клиента на регистрацию в ЕБС, мы начинаем собирать данные.
Сначала оператор настраивает корректное положение камеры относительно клиента. Ему помогает АРМ, выводя предварительный показ кадра с отметками расположения лица (перекрестье), угла наклона головы. Также показывается числовая информация: разрешение, размер изображения, угол наклона головы и расстояние между глаз. Вместе с этим идут подсказки для оператора.
После настройки положения камеры оператор нажимает кнопку старта съемки. Сервис делает снимки, проверяет их соответствие требованиям Ростелекома и выводит информацию оператору — пройдена проверка или нет, что надо сделать клиенту (опустить подбородок, повернуть голову и т.д.).
Завершив этот этап, АРМ автоматически переходит к записи образцов голоса. Клиент трижды повторяет случайно сгенерированную последовательность цифр от 0 до 9 в трех стандартных последовательностях. После каждой записи библиотека контроля качества проверяет ее. Кстати, эту библиотеку разработали сотрудники Промсвязьбанка.
Затем в записях проставляется начало и конец, они объединяются в одну и отправляются в ЕБС. После прохождения контроля у контролера центрального офиса биометрические образцы передаются в коннектор для формирования и подписания пакета, передачи в СМЭВ и далее в ЕБС.
После получения ответа от ЕБС на экран оператора выводится карточка окончания регистрации. А клиенту по результатам регистрации приходит сообщение из ЕСИА.
Вот так происходит регистрация данных в Промсвязьбанке для Единой биометрической системы.
Распространенные заблуждения
Мы знаем, что новая система вызывает у некоторых людей вопросы. Прокомментируем несколько популярных:
«Банки будут владеть моими данными и мошенничать». Нет, банки просто не получают доступа к биометрическим данным клиентов и физических лиц. Банки регистрируют физическое лицо (клиента в ЕСИА), отправляют в ЕБС фотографию и запись голоса надлежащего качества. Мошенничество невозможно без биометрических шаблонов ЕБС, которые на стороне банков не создаются. В процессе идентификации в ЕСИА банки не участвуют, а только получают итоговый статус этой идентификации.
«Мои данные будут использовать посторонние». Мы часто слышим реплики типа «за меня кредит другой возьмет», «жена с моим фото будет иметь доступ к моим счетам». Нет. Технология биометрии предусматривает проверку методом Liveness — то есть проверяется, что на другом конце находится живой человек. Для этого непредсказуемо меняется порядок произнесения фраз или цифр, а также оценивается движение человека, мимика, движение губ при верификации лица. Такие мультимодальные биометрические признаки повышают надежность метода.
«За нами следят и поэтому всех обязывают сдавать данные». Нет, сдача биометрии — дело исключительно добровольное. Конечно, со временем те, кто имеют учетные записи в ЕСИА и ЕБС, смогут получать больше интересных предложений и услуг и значительно быстрее. Но решение о сдаче биометрии остается всегда за клиентом.