التحقق القائم على المعرفة (KBA)

ماذا يعني «التحقق القائم على المعرفة»؟

التحقق القائم على المعرفة، أو KBA (Knowledge-Based Authentication)، فحص للهوية يطرح على الشخص أسئلة يُرجّح ألا يجيب عنها بشكل صحيح إلا هو، وتُولَّد عادةً من الملفات الائتمانية والسجلات العامة. وفي مسارات التوقيع الإلكتروني والتوثيق، يُستخدم للتأكد من أن الموقّع هو من يدّعي قبل أن يتمكن من فتح المستند أو توقيعه.

وهو نوعان. التحقق الثابت يعتمد على إجابات أعدّها المستخدم مسبقًا، كسؤال الأمان التقليدي عن اسم أول حيوان أليف. أما التحقق الديناميكي، وهو المستخدم في التوقيع، فيسحب الأسئلة فورًا من شركات وساطة البيانات، كسؤال عن أي من هذه الشوارع سكنت فيه سابقًا، أو أي جهة تمويل منحتك قرض سيارة سابقًا. ويتلقى الموقّع عادةً بضعة أسئلة متعددة الخيارات ومهلة قصيرة، ويجب أن يتجاوز حدًا معيّنًا للمتابعة.

لنفترض أن مدير عقارات يتعامل مع كفالة إيجار عالية القيمة من كفيل لم يلتقِ به قط. إضافة التحقق القائم على المعرفة تعني أن على الكفيل أن يجيب عن أسئلة مرتبطة بتاريخه الائتماني قبل التوقيع، مما يمنح المدير ثقة إضافية في الهوية. أما في ملحق روتيني يخص حيوانًا أليفًا للمستأجر، فستكون الخطوة نفسها عناءً بلا فائدة.

من المفاهيم الخاطئة الشائعة أن هذا التحقق شبه معصوم. فكثير من البيانات التي يقوم عليها تسرّب في اختراقات على مر السنين، وقد يجد المحتال المصمم الإجابات أحيانًا. وفي المقابل، يتعثر الموقّعون الصادقون في أسئلة عن حسابات بالكاد يتذكرونها، وقد لا تتمكن المنصة من توليد أسئلة أصلًا لأشخاص سجلهم الائتماني محدود.

التحقق القائم على المعرفة إحدى طرق التحقق من هوية الموقّع، ويحضر بقوة في التوثيق عن بُعد عبر الإنترنت، حيث تشترطه قواعد ولايات كثيرة إلى جانب فحص وثيقة الهوية. وهو أثقل من الرمز لمرة واحدة، الذي لا يثبت إلا السيطرة على هاتف أو بريد.

إذا احتجت فعلًا إلى هذا التحقق، فأبلغ الموقّعين مسبقًا. ملاحظة قصيرة تشرح أنهم سيواجهون بضعة أسئلة عن عناوين سابقة أو قروض، وأن عليهم الإجابة ضمن مهلة، تقلل المحاولات الفاشلة بشكل ملحوظ. ومن المفيد أيضًا توفير بديل، كالتحقق من وثيقة الهوية، لمن لا يكفي سجلهم الائتماني لتوليد أسئلة. ومن دونه، قد يعلق موقّع شرعي دون أي وسيلة لإكمال المستند.

رأينا: التحقق القائم على المعرفة مبالغة في العقود اليومية. له معنى حيث يشترطه قانون أو جهة إقراض، أما لاتفاقيات العمل الحر أو خطابات العرض الوظيفي أو عقود الإيجار، فسجل تدقيق واضح ورابط توقيع فريد يؤديان المهمة بعناء أقل بكثير.

لا يستخدم eSignSimple التحقق القائم على المعرفة اليوم؛ فالتحقق من الهوية، بما فيه طرق مثل KBA، ضمن خطتنا المستقبلية. نحن نعتمد على روابط بريد إلكتروني فريدة، وسجل تدقيق بالتوقيتات وبيانات IP والجهاز، وشهادة إتمام التوقيع لكل مستند موقّع.

«التحقق القائم على المعرفة»: مثال واقعي

مقترضة برهن عقاري تنضم إلى جلسة توثيق عن بُعد عبر الإنترنت. قبل ظهور كاتب العدل، تطرح عليها المنصة خمسة أسئلة متعددة الخيارات، كسؤال عن أي من أربعة شوارع سكنت فيه سابقًا، مستمدة من السجلات الائتمانية والعامة، ويجب أن تجيب عن أغلبها بشكل صحيح ضمن مهلة محددة. لا يقدّم eSignSimple التحقق القائم على المعرفة ولا أي تحقق من الهوية.

ما المصطلحات ذات الصلة؟

• التوثيق لدى كاتب العدل: التوثيق إجراء يتحقق فيه كاتب عدل معتمد من هوية الموقّع ورضاه، ثم يصادق على التوقيع بختمه.
• التوثيق عن بُعد عبر الإنترنت (RON): التوثيق عن بُعد عبر الإنترنت (RON) يتيح لكاتب عدل معتمد توثيق مستند خلال جلسة صوت وصورة مباشرة باستخدام توقيعات وأختام إلكترونية.
• التحقق من هوية الموقّع: التحقق من هوية الموقّع هو الطريقة التي تتأكد بها منصة التوقيع الإلكتروني من أن من يوقّع المستند هو الشخص الذي أُرسل إليه.
• الرمز لمرة واحدة (OTP): الرمز لمرة واحدة (OTP) رمز قصير يُرسل إلى الموقّع برسالة نصية أو بالبريد، ويجب إدخاله قبل فتح المستند أو توقيعه.