"Ez volt a feltevés:..."
Erre még Hajbi is azt írta, és ez azon ritka alkalmak egyike, amikor egytértek vele valamiben, hogy:
"A kiinduló állítás viszont hamis. Egyelőre nem várható és nincs is tervben. Forrást sem hivatkoztál."
Az elektronikusan _beküldött_ dokumentumokhoz az adott rendszer, ami fogadja, illetve az kezelt/elérhető adatok miatt erős két faktor _vagy_ olyan más, azzal egyenértékű (tudás, birtoklás) megoldás kell az azonosításhoz. Az "ott a web" _önmagában_ erre nem elég. A jelenleg elfogadott megoldások, elvek alapján egy outband második faktor, ami birtokláson alapul, és challenge.response módon működik teljesen jó lehet - na ezt csinálja a DÁP a QR-kódal. Ennél csak egy biometriával védett hardvertoken lenne talán jobb, amit szabványos módon lehet illeszteni IDM rendszerekhez - apró probléma vele, hogy jelenleg még költséges (nettó kisker ár 35-40E Ft/darab egy Yubikey Bio-nak, ha ezt a felére le lehetne vinni közbe' szerzéssel és nagy tételben történő vásárlással, az akkor is drága az államnak sajnos), és ami szintén gond, hogy az elvárás egy ember által is olvasható azonosításra szolgáló megoldás legyen.
Én azért remélem, hogy az e-személyis azonosítás kivezetésével nem tesznek le a hardvertokenes azonosításról, mint lehetőségről, és ebbe az irányba is lesz gondolkodás az ügyfélkapu+ kapcsán. Igaz, ez azt jelentené, hogy a human-readable igazolvány és az elektronikus azonosításra szolgáló eszköz szétválna - amivel persze semmi bajom, de lehet, hogy jogászoknak van baja :-D
"Az, hogy csak a mobil alkalmas biztonságos 2FA-nak, meg illúzió."
Sehol nem mondtam, hogy csak az alkalmas - pont az a gondom, hogy az e-személyihez képest nekem kevésbé tűnik megbízhatónak, biztonságosnak, illetve a privacy kapcsán egyesekben felmerülő aggályokat is el tudom valamilyen mértékben fogadni.
Azt kell látni, hogy ez egy állami, azaz közös zsebből zajló fejlesztés, és a jelenlegi irány nem az ideális, hanem valamilyen biztonság-kényelem-költségek paraméterhalmazra optimalizált megoldás.