השרת שלכם מצהיר, שלנו דוחה
בקשה מצהירה על רמת הוודאות שהפעולה דורשת, humanity, low, substantial או high. אימות שזכה בפחות מזה אינו חוזר כ“כן” חלש יותר. הוא אינו חוזר כ“כן” בכלל.
צילום. אימות. פסיקה. מחיקה.
ארבעה שלבים, בסדר הזה, כשהמחיקה היא שלב ולא מדיניות. המעניין אינו שכל אחד מהם מתרחש, לכל ספק יש ארבעה שלבים, אלא מה כל שלב רשאי להניח על השלב שלפניו.
צילום
מצלמה אינה יכולה לספר לכם מאיפה הגיעו הפריימים שלה. לכן הפריימים נעשים כאלה שאומרים זאת בעצמם, על המכשיר, לפני שדבר יוצא ממנו.
כל פריים עובר hash ונחתם על המכשיר ברגע שנלקח, תחת nonce חד-פעמי שהונפק לאותה פעימת צילום אחת. פריים אינו יכול להיכנס אל הסדרה, להשתנות בסדר או להיחזר אליה, כי ה-nonce שהיה צריך להיחתם תחתיו כבר נוצל. ב-iOS האפליקציה עצמה מאומתת דרך Apple App Attest, שמבסס שהחתימה נעשתה בידי בנייה אמיתית ולא מתוקנת שרצה על חומרת Apple אמיתית, ולא בידי משהו שרק עוטה את שמה.
כך אפשר להבדיל בין צילום שנחתם על המכשיר, מול nonce שהונפק לאותה בקשה בדיוק, לבין העלאה מגלריה, פריים ששוחזר, או מצלמה וירטואלית.
שימו לב לצורת הטענה. היא אינה שהתמונה נראית אמיתית. מודל גרפי יכול לגרום לתמונה להיראות אמיתית, וביוני 2026 אחד כזה עשה את זה, דרך הבדיקות המרוחקות של כמה בנקים. הטענה היא שהתמונה הגיעה עם מקור שמודל גרפי אינו יכול לייצר, כי הייצור שלו דורש מפתח שמוחזק בחומרה שאינה בשליטת התוקף.
| נחתם על | מה זה אומר |
|---|---|
| session_nonce | nonce אחד, שהונפק לפעימת הצילום הזאת בלבד ונוצל פעם אחת. אותה סדרה שתוצג בשנית אינה מתאמתת. |
| frames | כל פריים עובר hash ברגע שנלקח. פריים שלא היה בסדרה כשהיא נחתמה אינו יכול להידחף אליה אחר כך, והסדר אינו ניתן לשינוי. |
| attestation | ב-iOS, Apple App Attest: החתימה נעשתה בידי בנייה אמיתית ולא מתוקנת, על חומרת Apple אמיתית. |
| signature | נעשית במפתח שמוחזק במכשיר. מי ששולח לכם תמונה במקום זה אינו מחזיק אותו. |
שום דבר מזה אינו תלוי בכך שהתמונה נראית משכנעת. הוא תלוי בשאלה מאיפה התמונה הגיעה, והדבר האחד הזה הוא מה שמודל גרפי אינו יכול לזייף.
אימות
כשיש דרכון, המדינה כבר עשתה את החלק הקשה וחתמה על התשובה שלה עצמה. האימות הוא העבודה של ללכת אחרי החתימה הזאת כל הדרך חזרה אל המדינה, בלי לבקש רשות מאף אחד.
| חוליה | מה נבדק |
|---|---|
| chip signature | קבוצות הנתונים שעל הצ'יפ חתומות בידי המדינה המנפיקה. החתימה נבדקת מול תעודת חותם המסמך שהצ'יפ עצמו נושא. |
| signer to root | חותם המסמך הזה משורשר אל שורש ה-CSCA של המדינה המנפיקה, שנמצא במאגר האמון המקומי. צ’יפ שהמנפיק שלו אינו במאגר נדחה. לא מסומן, לא מנוקד, נדחה. |
| store size | 588 תעודות מ-112 מדינות, מוחזקות על המכשיר ועל השרת שמשלים את ההשוואה. |
| network calls | אין. בלי שליפת CRL, בלי שאילתת OCSP, בלי קריאה חזרה לספק. כל השרשרת נפתרת ללא רשת, ולכן היא נפתרת באותו אופן בדיוק גם במטוס וגם בתוך פריסה מנותקת רשת. |
| face source | התצלום שמשמש להשוואה נקרא מהנתונים החתומים של הצ'יפ עצמו, בצד השרת. הוא אינו נסרק מהעמוד המודפס, ולכן אין עמוד לזייף. |
תמונה מזויפת דורשת מודל גרפי. חתימת צ’יפ דורשת את המפתח הפרטי של המדינה.
אמרו את הגבול במדויק, כי הוא קובע איך פיילוט ייראה בפועל: מסלול הצ’יפ הוא מסלול הדרכון. הצ’יפ בתעודת הזהות הישראלית נעול בידי המדינה ואינו ניתן לקריאה כלל, ולכן כל אימות של תעודת זהות ישראלית הוא אימות מבוסס תצלום בלבד ורץ על מסלול הצילום משלב 01. זה המשפט החשוב ביותר בדף הזה לפריסה ישראלית, וזה המשפט שהסיכוי הגבוה ביותר הוא שהוא חסר בדף של מתחרה.
פסיקה
הפסיקה אינה מספר שנמסר לכם כדי שתפרשו אותו. היא רמה, שנזכית לפי האופן שבו הצילום נעשה בפועל, ונאכפת בצד שלנו מול הרמה שהצהרתם עליה.
אתם מקבלים את המעט שאתם יכולים לפעול לפיו
האינטגרציה שרצה בייצור היום נענית בשלושה שדות ולא יותר: האם האדם אומת, האם הוא עובר את רף הגיל, ומה היה הרף הזה. בלי שם, בלי מספר זהות, בלי תאריך לידה, בלי תמונה. לקוח שאינו מחזיק שום דבר מזהה אין לו שום דבר מזהה לאבד.
דחייה היא דחייה
מנפיק צ’יפ שאינו מוכר, מניפסט שאינו מתאמת, nonce שכבר נוצל, זהות שנחסמה: אלה מסיימים את האימות. הם אינם מנוקדים לכדי מעבר גבולי שאתם תמיינו.
חזרה אל השרת שלכם
השרת שלכם מקבל verified, assurance, meets_age וage_gate_min, ולא יותר.
ארבע תשובות שהקוד שלכם כבר יודע מה לעשות איתן. קיימות קבוצות שדות גדולות יותר והן מוגדרות לכל לקוח, והמזהה שאתם מקבלים לאדם נגזר עבורכם בלבד, כך שהפלטפורמה הבאה שבה הוא יאומת תחזיק טוקן שאינו קשור לשלכם.
הדף הזה באנגלית
מחיקה
התמונות והביומטריה אינן שורדות את הבקשה שהשתמשה בהן. אפס שימור של תמונות ושל ביומטריה, מאומת על הדיסק.
אין פריים סלפי, אין תצלום מסמך, אין נתוני צ’יפ, ואין embedding או תבנית פנים. אין גלריה להירשם אליה, ולכן אין גלריה לפרוץ, ואין שורת הכנסה מאימות מחדש שתלויה בהחזקת אחת.
מה שנשאר צר יותר מ“כלום”, ולא נעגל את זה למעלה. שם, מספר זהות ותאריך לידה נשמרים מוצפנים וללא תפוגה. שני hashes חד-כיווניים נגזרי-פנים פגים אחרי 30 ימים ואחרי 7 ימים. אלה אינם תמונות ואינם ביומטריה שאפשר לשחזר ממנה פנים, וזאת כל הרשימה.
מאומת, ואז נעלם
ארבעה שלבים, ואחד מהם הוא המוצר.
צילום, אימות ופסיקה הם תנאי כניסה; כל ספק שאתם משווים עושה את שלושתם. המחיקה היא זאת שעולה לספק מבוסס משהו להעתיק, כי השימור שלו הוא מה שהוא גובה עליו.
אותה מערכת, מתוארת כחלקים ולא כשלבים ←תראו את התמונות לא נמצאות.
דרכון אמיתי, שרשרת האמון שנפתרת כשהרשת מכובה, ואז הדיסק, אחרי, כשאתם מסתכלים עליו.
לתיאום הדגמהטופס הפנייה הוא באנגלית. אפשר גם במייל contact@jerix.co או בטלפון, בעברית.