Autenticazione basata sulla conoscenza (KBA)

Cosa significa «Autenticazione basata sulla conoscenza»?

L'autenticazione basata sulla conoscenza, o KBA (knowledge-based authentication), è un controllo d'identità che pone a una persona domande a cui probabilmente solo lei sa rispondere, di solito generate da archivi creditizi e registri pubblici. Nei flussi di firma elettronica e di notarizzazione, la verifica KBA serve a confermare che il firmatario sia chi dice di essere prima che possa aprire o firmare un documento. È diffusa soprattutto negli Stati Uniti.

Ne esistono due varianti. La KBA statica si basa su risposte impostate in precedenza dall'utente, come la classica domanda di sicurezza sul primo animale domestico. La KBA dinamica, quella usata nella firma, ricava le domande al momento dai fornitori di dati, per esempio in quale di queste strade hai abitato o quale finanziaria ti ha concesso un vecchio prestito auto. Di solito il firmatario riceve alcune domande a scelta multipla con un tempo limitato e deve superare una soglia per proseguire.

Supponiamo che un gestore immobiliare debba ottenere una fideiussione di valore elevato da un garante che non ha mai incontrato. Aggiungere la KBA significa che il garante deve rispondere a domande legate alla propria storia creditizia prima di firmare, dando al gestore più fiducia sull'identità. Per l'appendice sugli animali domestici dell'inquilino, lo stesso passaggio sarebbe puro attrito.

Un equivoco comune è che la KBA sia quasi infallibile. Molti dei dati su cui si basa sono stati esposti in violazioni nel corso degli anni, e un truffatore determinato a volte riesce a trovare le risposte. I firmatari onesti, intanto, inciampano su domande riguardanti conti che ricordano a malapena, e chi ha una storia creditizia scarna potrebbe non generare alcuna domanda.

La KBA è un metodo di autenticazione del firmatario e ha un ruolo centrale nella notarizzazione online a distanza, dove molte regole statali la richiedono insieme al controllo di un documento d'identità. È più pesante di un OTP, che dimostra solo il controllo di un telefono o di una casella email.

Se hai davvero bisogno della KBA, avvisa i firmatari in anticipo. Una breve nota che spiega che dovranno rispondere ad alcune domande su indirizzi o prestiti passati, entro un tempo limite, riduce sensibilmente i tentativi falliti. Aiuta anche avere un'alternativa, come il controllo di un documento d'identità, per chi ha una storia creditizia troppo scarna per generare domande. Senza, un firmatario legittimo può restare bloccato senza modo di completare il documento.

Il nostro parere: la KBA è eccessiva per i contratti di tutti i giorni. Ha senso dove una legge o un finanziatore la richiedono, ma per accordi con freelance, lettere di assunzione o locazioni, un audit trail pulito e un link di firma univoco fanno il lavoro con molto meno attrito.

eSignSimple oggi non usa la KBA; la verifica dell'identità, compresi metodi come la KBA, è nella nostra roadmap. Ci affidiamo a link univoci via email, a un audit trail con data e ora, dettagli su IP e dispositivo, e a un certificato di firma per ogni documento firmato.

«Autenticazione basata sulla conoscenza»: un esempio concreto

Una persona che chiede un mutuo partecipa a una sessione di notarizzazione online a distanza. Prima che compaia il notaio, la piattaforma pone cinque domande a scelta multipla, come in quale di quattro strade abbia abitato, tratte da registri creditizi e pubblici, e lei deve rispondere correttamente alla maggior parte entro un tempo limite. eSignSimple non offre la KBA né alcuna verifica dell'identità.

Quali sono i termini correlati?

• Autenticazione notarile: L'autenticazione notarile è la procedura in cui un notaio verifica l'identità e la volontà di chi firma, poi certifica la firma con il proprio sigillo.
• Notarizzazione online a distanza (RON): La notarizzazione online a distanza (RON) permette a un notaio abilitato di autenticare un documento in una sessione audio-video dal vivo, con firme e sigilli elettronici.
• Autenticazione del firmatario: L'autenticazione del firmatario è il modo in cui una piattaforma di firma elettronica conferma che chi firma un documento è la persona a cui è stato inviato.
• Codice monouso (OTP): Un codice monouso (OTP) è un breve codice inviato al firmatario via SMS o email, da inserire prima di poter aprire o firmare un documento.