A digitális személyazonosítás és adatátadás területén új korszak kezdődik Európában: az eIDAS 2 szabályozás a tagállamoknak már nem csupán lehetőségeket, hanem kötelezettségeket is előír a hiteles digitális azonosítás kiépítésében. Magyarországon a Digitális Állampolgárság Program (DÁP) keretében folyó fejlesztések élen járnak abban, hogy egy, az uniós normáknak is megfelelő digitális adattárcát valósítsanak meg.

Az IdomSoft Zrt. szakértője, Horváth Tamás a második DÁP Szolgáltatói Fórumon tartott előadásában bemutatta, hogyan épül fel és miképpen használható a DÁP-sandbox, amely a piaci szereplőknek hivatott segíteni a DÁP-rendszerhez való integrációban.

Webinár: Digitális Állampolgárság 2025-2026 (3. rész): Ügyfél-átvilágítás DÁP-pal a pénzügyi szektorban

A FinTechZone és a Comnica közös, Digitális Állampolgárság webinársorozata 3. részében a DÁP integráció műszaki feltételeit vesszük górcső alá az IdomSoft Zrt. DÁP fejlesztésért felelős termékdivízió vezetőjével.

Megvizsgáljuk azt is, hogyan lehet az eAzonosításból Pmt. szerinti átvilágítás, majd a Comnica vezetőjével modellezünk egy számlanyitási folyamatot DÁP eAzonosítással.

A webinárra 2025. február 25-ig lehet regisztrálni itt: REGISZTRÁCIÓ

1. Miért fontos az eIDAS 2 és a digitális adattárca?

1.1. Az eIDAS 2 szabályozás rövid áttekintése

Az európai uniós eIDAS 2 szabályozás célja, hogy minden tagállamban létrejöjjön egy egységes, megbízható digitális azonosítási ökoszisztéma. Nem csupán a közszférában, hanem a versenyszférában is elvárt lesz a korszerű, digitális személyazonosítás alkalmazása, melyet megfelelő adatvédelmi és biztonsági garanciákkal látnak el.

1.2. A Digitális Állampolgárság Program (DÁP) szerepe

Magyarországon a Digitális Állampolgárság Program (DÁP) olyan fejlesztéseket tömörít, amelyek az állampolgárok és vállalkozások számára modern, felhasználóbarát és szabályozás-konform digitális szolgáltatásokat kínálnak. Ennek egyik központi eleme a digitális adattárca, amely különböző igazolásokat (pl. személyazonosító adatokat) képes biztonságosan átadni.

2. A DÁP-sandbox felépítése és funkciói

2.1. Mi az a DÁP-sandbox?

A sandbox gyakorlatilag egy tesztkörnyezet, amely a valódi (éles) DÁP mobilalkalmazás működését modellezi webes felületen. Ennek célja, hogy a fejlesztők és piaci szolgáltatók a saját rendszereik integrációját rizikómentesen, elkülönített módon próbálhassák ki.

2.2. A sandbox által szimulált digitális adattárca

A DÁP-sandboxban található virtuális adattárca ugyanazokkal a működési elvekkel dolgozik, mint az éles DÁP-applikáció:

• Hitelesített adatszolgáltatás: A felhasználói (személyes) adatok átadása szabványos, elektronikusan aláírt üzenet formájában történik.
• Szelektív adattovábbítás: A rendszerben ki lehet választani, hogy a felhasználó pontosan mely adatait osztja meg.
• Negatív tesztek: A sandbox lehetőséget nyújt hibás vagy visszavont igazolások szimulálására is, ezáltal a szolgáltató rendszere felkészíthető arra, hogyan kezelje a nem elfogadható adatcsomagokat.

3. Integrációs folyamat fejlesztőknek és szolgáltatóknak

3.1. Csatlakozási dokumentáció és e-azonosítási csomagok

A csatlakozáshoz részletes műszaki dokumentáció érhető el, amely a fejlesztők számára pontos iránymutatást ad. Külön figyelmet érdemelnek a PID (személyazonosító adatok) és az egyes adatszolgáltatási típusok (ún. kettes és hármas számú csomag), amelyek külön-külön fejlesztési lépést igényelnek.

3.2. OpenID for Verifiable Presentations (OpenID4VP)

A digitális adattárca a Verifiable Credentials (hiteles igazolások) ki- és bemutatását az OpenID4VP szabvány mentén valósítja meg. Ennek lényege:

1. A szolgáltató (RP – Relying Party) létrehoz egy kérés-objektumot (request), amelyet QR-kód vagy deep link formájában átad.
2. A tárca felhasználója jóváhagyja és aláírja az adatcsomagot.
3. A szolgáltató érvényesíti a kapott igazolást (signature, visszavonási lista, adattartalom stb.).

3.3. RP kliens referenciaalkalmazás

Az IdomSoft biztosít egy RP kliens mintamegoldást, amelynek segítségével fejlesztők megtanulhatják:

• Hogyan állítsák össze a QR-kódot vagy a deep linket,
• miként fogadják és ellenőrizzék a digitális adattárca által küldött prezentációt,
• hogyan kezeljék a különböző sikeres vagy hibás eseteket.

4. Tesztelési forgatókönyvek és a gyakorlati lépések

4.1. Pozitív teszt: Sikeres adatátadás

• QR-kód generálás: Az RP kliens beállítja, mely személyes adatokra van szükség.
• Sandboxhoz küldés: A tárca érvényesíti a kérést, majd felajánlja a felhasználónak az adatok átadását.
• Aláírt válasz: A sandbox (virtuális tárca) visszaküldi a szabványos, hitelesített adatcsomagot.
• Ellenőrzés: Az RP kliens (vagy a valódi szolgáltatói rendszer) ellenőrzi az aláírást és a tartalmat, majd jóváhagyja a tranzakciót.

4.2. Negatív teszt: Hibás vagy visszavont igazolás

• A sandboxban beállítható, hogy a digitális adattárca visszavont, hibásan aláírt vagy hiányos adatokat küldjön.
• A szolgáltatónak kötelessége felismerni ezeknek az állapotoknak a tényét (pl. a visszavonási listán szerepel az adott tanúsítvány), és szükség esetén meghiúsultként kezelni az adatátadást.

Összegzés és további lépések

A DÁP-sandbox és az RP kliens referenciaalkalmazás használatával a fejlesztők és piaci szereplők minden lényeges forgatókönyvet kipróbálhatnak, mielőtt éles üzembe helyeznék saját e-azonosítási megoldásaikat. A rendszer teljes mértékben igazodik az EU-konform eIDAS 2 előírásokhoz, így segít felkészülni a jövőben kötelezően alkalmazandó európai szabályozásra.

A sikeres csatlakozáshoz és integrációhoz azonban elengedhetetlen:

• A részletes műszaki dokumentáció áttanulmányozása,
• a sandboxban rendelkezésre álló pozitív és negatív esettanulmányok lefuttatása,
• az RP kliens referencia megoldások megismerése és adaptálása.