UvA ontdekt beveiligingslekken in mogelijk alternatief voor DigiD

In een van de mogelijke opvolgers van DigiD zijn veiligheidsrisico's gevonden door een aantal onderzoekers van de Universiteit van Amsterdam. Het gaat om een pilot van een systeem van Digidentity, een bedrijf uit Den Haag.

Dat meldt de NOS op basis van een gesprek met de onderzoekers van de UvA. Een van de gevonden problemen is de mogelijkheid om geautomatiseerd in te loggen op de systemen. Daardoor kunnen in korte tijd veel inlogpogingen worden ondernomen, en stijgt de kans om het account binnen te komen. Uiteindelijk is de UvA niet binnengekomen op een account, maar schat zij in dat dat tussen de 7 uur en 48 dagen zou duren.

Ook slaagden de onderzoekers erin om de bijbehorende Android-applicatie te kraken. Hiervoor was echter wel roottoegang nodig, waardoor de methode niet toepasbaar is op veel Android-apparaten. Daarnaast zouden er nog andere 'slordigheden' zijn gevonden.

Het systeem dat Digidentity ontwikkelt als alternatief voor DigiD is nog niet af, maar wordt al wel gebruikt in een pilot. In een reactie stelt het bedrijf dat de gevonden beveiligingslekken al zijn gerepareerd, en benadrukt het dat een pilot juist is bedoeld om zulke problemen op te sporen. Digidentity was overigens ook betrokken bij de ontwikkeling van DigiD.

Er zijn verschillende alternatieven in ontwikkeling voor DigiD. Zo is er iDIN, waarmee gebruikers via hun bank inloggen. Idensys is een andere methode, en deze wordt ontwikkeld binnen een samenwerkingsverband van overheid en bedrijfsleven. Digidentity gebruikt het framework van Idensys voor zijn eigen systeem. Beide methoden worden momenteel in een pilot getest door de Belastingdienst.

Reacties (62)

In het artikel word geïmpliceerd dat Digidentity een eigen methode heeft ontwikkeld naast DigiD maar wat zij juist hebben gedaan is een implementatie van de identity broker service in het stelsel van Idensys. Het systeem leeft dus in het Idensys framework. Op pagina 4 van de paper (https://www.os3.nl/_media...ot-report-digidentity.pdf) word deze situatie ook geschetst.

Dit staat toch ook in de een na laatste zin vermeld in het artikel?
"Digidentity gebruikt het framework van Idensys voor zijn eigen systeem."

Volgens mij stond dit er eerst niet en is dit later toegevoegd.

Mochten mensen nog geïnteresseerd zijn in alle details, hier kan je de paper vinden:
https://www.os3.nl/_media...ot-report-digidentity.pdf

Mogelijkheid tot bruteforcing lijkt me toch wel beetje slechte fout voor een bedrijf dat veilige systemen zou moeten kunnen bouwen.

Looking at the results it is clear that quite some things are wrong with Digidentitys implementation of Idensys

Ook dit soort dingen:

It might seem that this is a counter measure against brute forcing. However, this is not actually the case. If the same range would be searched every 30 seconds eventually a new TOTP code would fall inside this range. Assuming that the TOTP code is chosen uniformly, the time before uch an event would happen would be the same on average as finding a single value in the full range.

Om nog maar te zwijgen van het feit dat een database kolom aanpassen je praktisch unlimited retries geeft ....

[Reactie gewijzigd door farlane op 24 maart 2017 18:12]

Kan iemand me uitleggen wat er mis is met DigiD? Waarom moeten er weer miljoenen verspild worden aan alternatieven, die qua beveiliging kennelijk geen verbetering zijn?

Ik begrijp ook niet waarom er iets compleet nieuws moet komen. Dat DigiD niet perfect is geloof ik best, maar het kan toch niet zo gaar zijn dat het vanaf de grond opnieuw moet worden opgebouwd? Er kunnen toch gewoon verbeteringen worden doorgevoerd?

In zijn huidige staat bevalt het mij prima. Je kunt eenvoudig inloggen bij verschillende partijen, het ondersteunt two-factor authentication... goede basis toch?

[Reactie gewijzigd door Bergen op 24 maart 2017 22:05]

Er zijn een aantal problemen met DigiD die met Idensys en iDIN opgelost worden.

1. Er is maar één DigiD: Als DigiD dus down gaat, een storing heeft o.i.d. dan kan niemand daar meer gebruik van maken. Bij Idensys en iDIN is het zo dat je op verschillende manieren kan inloggen, mocht het ene middel het niet doen kan je ook nog de ander gebruiken. Immers hebben de meeste mensen meer dan een bankrekening.

2. DigiD is feitelijk een grote database met allemaal persoonsgegevens erin. Bij Idensys en iDIN is dat niet het geval, hier wordt straks gebruik gemaakt van Polymorfe Pseudoniemen en kent het geen grote database met allemaal persoonsgegevens erin.

3. DigiD kent geen hoge betrouwbaarheid. Iedereen kan een DigiD aanmaken zolang je een X aantal gegevens opgeeft, je hoeft niet fysiek langs bij een balie om aan te tonen dat jij ook daadwerkelijk de persoon bent die je zegt dat je bent. Bij Idensys en iDIN moet je wel aantonen dat jij degene bent die het middel aanvraagt door bijv. naar een balie te gaan en je te identificeren of door een aantal selfies van je te maken. Hierdoor krijg je een hogere betrouwbaarheid van het middel en heeft de partij zekerheid dat ze daadwerkelijk met jou zaken doen en niet iemand die zich als jou voordoet, wat nu met DigiD in principe mogelijk is.

4. In 2014 is de eIDAS verordening vastgesteld, welke op 1 juli 2016 van kracht is gegaan, waarin staat dat je het als EU lid de mogelijkheid aan de burger moet bieden om digitaal zaken te kunnen doen met alle overheidsinstanties in de EU. M.a.w. als Nederlander moet je bijv. een vergunning in België, Duitsland, Spanje enz. digitaal aan kunnen vragen.

Bovenstaande punten zijn o.a. de reden dat de Nederlandse overheid zich hiermee bezig houdt, waarbij wij als Nederland overigens voorloper zijn in de manier waarop we dit doen (de Polymorfe Pseudoniemen). :-)

Bronnen:
https://www.idensys.nl
https://www.idin.nl
https://www.internetconsultatie.nl/eidas
https://www.internetconsultatie.nl/wetgdi
https://www.cs.ru.nl/E.Ve...tations/The_Dutch_eID.pdf

[Reactie gewijzigd door Crashed1987 op 24 maart 2017 22:29]

Erg goede punten :

Ik wil alleen één kanttekening plaatsen. Ik heb de afgelopen jaren meerdere bankrekeningen geopend waarbij ik mij niet fysiek heb hoeven identificeren op een bankkantoor (e.g. KNAB).

Net zoals elk authenticatiesysteem is iDIN net zo sterk als de zwakste schakel. Wat dat betreft is iDIN in mijn ogen zwakker dan DigiD - ik kan heel veel bankrekeningen aanmaken en er is maar één DigiD.

Verlies van persoonsgegevens (scans id) + social engineering (maak x cent over) -> bankrekening

Het verstrekken van identiteitsbewijzen en transitief ook digitale bewijzen van identitieti is een overheidstaak (zelfs voor de aanhangers van een minimale overheid). Dat geeft als voordeel dat DigiD (overheid) bijvoorbeeld geintegreerd zou kunnen worden met de basisregistratie personen.

Dat de implementatie van DigiD (technisch + proces) zwak is is evident. Idensys is een mooie stap (technisch + transparantie proces). Voor iDIN zie ik geen toekomst.

Dat klopt, op dit moment gaat het erg makkelijk bij een bank waarbij fysieke identificatie niet altijd noodzakelijk is. Echter veranderd dit met de wet GDI en de Uniforme Set van Eisen waarin verschillende betrouwbaarheidniveaus beschreven staan die gebaseerd zijn op de STORK/ niveaus waar bij de niveau's substantieel en hoog fysieke identificatie verplicht is.

Zie hiervoor de paragraaf betrouwbaarheids niveau's in de Uniforme Set van Eisen (pagina 128)
https://www.rijksoverheid...set-van-eisen.pdf#page128

Bedankt voor de inhoudelijke reactie. Dit is een leuk stuk achtergrondinformatie over dit onderwerp.

Als ik het goed interpreteer: Voor niveau substantieel en hoog zoals gedefinieerd in de Uniforme Set van Eisen moet het identiteitsbewijs worden overlegd.

Onder aanname dat het (a) niet mogelijk is om een accountantsverklaring te krijgen dat overleggen zonder fysieke overdracht kan en (b) het voor banken niet opportuun is om alle klanten opnieuw te identificeren, zullen de meeste entities uit de federatie waarin banken deelnemen (iDin) niveau laag hebben.

Dit is in tegenspraak tot de huidige situatie waar je met iDin een belastingaangifte kan ondertekenen.
Occam's razor: (a) gaat niet op – er is een accountantsverklaring dat 'overleggen' ook digitaal kan plaatsvinden…

[Reactie gewijzigd door ANdrode op 25 maart 2017 15:58]

De Uniforme Set van Eisen is nog in consultatie en treed pas in werking in 2019 samen met de wet GDI (die ook nog in consultatie is). Vandaar dat dit nu nog niet gebeurd, maar wanneer de wet in gaat wel moet gaan gebeuren natuurlijk. :-)

Toen ging ik nog een stapje dieper kijken.

Artikel 8 van de wettekst onder consultatie:
". Bestuursorganen en aangewezen organisaties overleggen jaarlijks, volgens bij of krachtens
algemene maatregel van bestuur te stellen regels, aan Onze Minister een verklaring van een
onafhankelijke auditor waaruit blijkt of zij voldoen aan de in het eerste lid bedoelde regels.

Ik twijfelde eerst even of de verklaringen aan Idensys moesten worden overlegd of aan het ministerie. Doordat ze aan de rijksoverheid worden overlegd zijn ze op te vragen door geïnteresseerde belanghebbenden (WoB). Erg mooie eigenschap

Digitaal overleggen mag, echter de eisen die daarbij gelden zijn vrij streng en 'foto met paspoort' is niet voldoende. De banken hebben hier voor zover ik weet nog niets voor gemaakt en/of bedacht.

Het doel is het controleren van identiteit. Het overleggen van een document is daarvoor een middel.

Uiteindelijk maak je hiermee een middel waarmee identiteit vastgesteld kan worden.

In elke vorm van zo'n proces is het mogelijk dat er een ongeautoriseerde/onbewuste registratie van een middel plaatsvind.

=> Het inzageregister (pagina 18 memorie van toelichting) is hier een goede oplossing voor. Helaas enkel voor personen - ik dacht dat de rest ook over bedrijven ging

Is dat niet juist de reden dat KNAB niet meedoet met iDIN?
Ze staan niet onderaan deze pagina iig: https://www.idin.nl/consumenten/

Dat zou heel logisch zijn . En op het echte inlogscherm kom je de andere banken ook niet tegen.

Ik heb echter het gevoel dat meerdere banken nu nog niet voldoen aan devoorwaarden uit de uniforme set van eisen c.q. iDin geen niveau substantieel/hoog heeft*. Zie pagina 136 van de uniforme set van eisen:

2.2.4 substantieel 1: "De Middelenuitgever MOET minimaal 1 maal per 5 jaar de juistheid verifiëren van de geregistreerde Persoonsidentificatiegegevens van de gebruiker."

Hier hebben meerdere van mijn banken waar ik een rekening heb (helaas, anekdotisch) niet aan voldaan. Daarnaast weet ik niet of ik met iDin kan inloggen met behulp van deze banken
*: "heeft" - dagelijks taalgebruik

[Reactie gewijzigd door ANdrode op 25 maart 2017 16:09]

Super slecht design, als kraken van een client (app) de beveiliging aantast.

Er staat nergens in het artikel in hoeverre de veiligheid was aangetast.

Liever dat ze het nu vinden (ook al loopt er al een pilot), dan dat ze gevonden worden als het helemaal live is.

Een pilot is geen vervanging voor goed nadenken, secuur programmeren of andere zaken die de kern van het systeem raken.

Klopt, maar het is al te vaak voorgekomen bij overheidsprojecten dat er software vol fouten gewoon in gebruik genomen is. Hier is in ieder geval gezocht, getest en gevonden voordat het volledig live gezet is.

Dit is geen overheid. Is een Amerikaans bedrijf. Of het erger is weet ik niet. Wat wel jammer is, is dat de NSA nu weet waar je inlogged als je dit middel van ze gebruikt. Had de overheid daar al over nagedacht?

Gaaf, ik was er nog niet van op de hoogte dat de Amerikanen Den Haag hebben gekocht. Wanneer is dit gebeurt? Of was het een inval?

Het is een Nederlands bedrijf

Digidentity is gekocht door Solera: http://www.solerainc.com/category/2017-pr/

Bij deze ;-) (en Solera is heel Amerikaans inclusief private equity)

Er is heel weinig Nederlands meer aan die club als het om eigenaarschap gaat. U is gewaarschuwd.

Het is inderdaad sowieso wel een dingetje dat dit soort persoonsinformatie opslaan bij commerciële partijen het risico met zich mee brengt dat men die partij over kan nemen / op kan kopen.

Dat en dat de overheid moord en brand roept als het ze uitkomt maar dit soort constructies gewoon wel toelaat.

Wat ontbreekt er aan iDeal dat er een opvolger nodig is? Ik vind het altijd wel ideaal namelijk.

Edit: Sorry, een of ander raar hersenspinsel van mij. Deze comment slaat inderdaad echt nergens op.

[Reactie gewijzigd door Takenzo op 24 maart 2017 17:45]

Wellicht haal je nu twee systemen door elkaar, het artikel verwijst naar de opvolger van DigiD, niet iDeal

Dit artikel gaat niet over betalingen of iDeal. Het lijkt me niet dat iDeal ergens heen gaat

Hoop dat ze rekening houden met simpele mensen, ik kan met DigID al niet inloggen bij mijn zorgverzekeraar want die verplicht gebruik van SMS en ik heb geen mobiele telefoon.

Je kunt SMSen naar een vaste lijn, dan wordt hij voorgelezen. Ik durf niet te zeggen of het resultaat enigszins begrijpelijk is.

Helaas komt dat vaak niet door de nummercontrole: je moet wel met 06 beginnen. Ik heb uiteindelijk toch maar een eigen mobiel geregeld. Daar had ik eigenlijk helemaal geen behoefte aan.

Geen mobiele telefoon maar volgens je profiel toch de nodige ervaring met de diverse mobiele besturingssystemen...

Klopt. Ervaring met ongeveer elk OS (geen BlackBerry), dankzij mijn werk. Ik wil alleen mijn privé authentificatie bij voorkeur niet via een werk telefoon. Daarom heb ik uitgezocht wat alternatieven waren (dus ook SMS naar vast nummer).

Je kunt SMS ook laten uitspreken op je normale lijn. Of heb je helemaal geen telefoon?

Je kunt je ook afvragen wie anno 2017 geen telefoon met SMS functie heeft, maar wel internet om te kunnen tweakeren

[Reactie gewijzigd door michelsoe12 op 24 maart 2017 18:00]

Eigenlijk vind ik het anno 2017 dat men juist niet meer SMS moet gebruiken in een security rol. Hier zou een beveiligde dienst voor moeten komen.

Plus komt er bij dat ik op mijn desktop vaak belangrijke dingen doe omdat deze bekabeld is aangesloten, maar op mijn kamer ik helemaal geen bereik heb (maar wel internet).

En hoe krijg je mensen zo ver om zo'n "beveiligde dienst" te gaan gebruiken? Ik vind het al heel knap dat ze zoveel mensen aan de sms-verificatie hebben gekregen. Zelf beschouw ik een mobiel nummer als informatie dat niet ieder bedrijf van mij hoeft te weten. Een email adres voor communicatie is voldoende.
Een aparte dienst voor inloggen zou ik waarschijnlijk nooit willen gebruiken. Die moet dan ook kunnen controleren dat jij jij bent en allerlei gegevens van je willen weten die je niet af wilt geven. En wie beheert zoiets? Ik kan me niet 1 partij bedenken die ik met zo'n taak zou vertrouwen.

Ik weet niet precies wat hij bedoeld met "hier zou een beveiligde dienst voor moeten komen", maar ik vind wel dat er meer keus moet zijn dan uitsluitend SMS. iDIN erbij is een goede stap, maar ondersteuning voor authenticator apps zoals Google Authenticator, smartcards, touch-to-sign-in zoals Google Prompt, en mijn favoriet: U2F zouden erg welkom zijn. Gewoon zoals Google of Duo Security doen: bied veel verschillende soorten aan authenticatie mogelijkheden aan, en laat gebruikers zelf kiezen wat het beste bij ze past. Overigens moet auth via SMS uiteindelijk wel uitgefaseerd worden, hoe laagdrempelig het ook is.

[Reactie gewijzigd door PostHEX op 25 maart 2017 12:35]

Ik geef (id)init gelijk.
Je kan je ook afvragen hoe irritant het is om -tig maal per dag te moeten inloggen met een wachtwoord èn een SMS.
Net zo'n onzin als een voordeur met 3 grendels, 3 sloten en een ketting erop.
1 sleutel moet voldoende zijn: wie ongewenst is weet dat dan, wie er toch in wil pakt een breekijzer of slaat een ruit in.

Ik heb tot nu toe elke instantie die mij verplicht SMS verificatie wou aansmeren tot andere gedachten kunnen brengen.
(Behalve Google&Microsoft)

[Reactie gewijzigd door Bruin Poeper op 24 maart 2017 18:41]

Goede security is niet irritant. Goede security is security dat aanwezig is zonder dat het je handelen aanzienlijk vertraagt t.o.v. wanneer je die security maatregel niet zou gebruiken. Het moeten uittypen van codes als 2FA is in mijn inziens ook geen goede security. Wat wel goed is is een wachtwoord plus iets alleen aan te hoeven raken om in te loggen.

Over Google gesproken, ze "smeren" je helemaal geen "verplichte SMS verificatie" aan. Je hoeft zelfs helemaal geen 2FA te gebruiken als je dat wilt. Google is een van de meest tolerante en klant vriendelijke bedrijven omtrent de keuze die je wordt geboden voor authenticatie. Zo kan je kiezen uit SMS verificatie, maar ook Google Authenticator, Google Prompt, en U2F security keys, waarbij je met die laatste twee geen codes hoeft over te typen. Zelf maak ik gebruik van U2F voor min Google account. Hiervoor gebruik ik een Yubikey. Als ik dus wil inloggen steek ik de key in een USB poort, raak de key aan om mijn wachtwoord uit te typen, en raak het een tweede keer aan om me te authenticeren via U2F. Dit is zelfs sneller en gemakkelijker dan als ik uitsluitend een wachtwoord gebruikte, en die zou uittypen.

Eerlijk gezegd zie ik niet hoe je sneller een USB ding aansluit dan een wachtwoord intypt. Bij mij moet ik eerst een kabel verwijderen, een stick tevoorschijn toveren en insteken op een poort waar ik geen direct zicht op heb. Voor mij komt zo'n Yubikey dus neer op een hoop gehannes...

Google&Microsoft willen vooral mijn telefoonnummer omdat ze dan een extra kanaal hebben. Die 2FA zie ik als de smoes om het te veroveren.
Als 2FA het doel is, dan is het extra gehannes van dezelfde ordegrootte als Yubikey.

Ik hoef gelukkig niet voor elk wissewasje bij Google een SMS af te wachten; dat komt alleen bij uitzondering voor als ze onregelmatigheid vermoeden, en gebeurt eigenlijk zelden. Het geeft bij Google (nog) weinig last, maar eigenlijk wil ik die koppeling helemaal niet.

Wat mijn bank (ING) ooit wou was dat elke transactie met SMS moest, zorgverzekeraar idemdito. Dat ging me te ver en is voor allebei (bij mij in ieder geval) niet doorgegaan.
Bij DigiD heb ik heel bewust nooit SMS geaccepteerd, want ik ben bang dat je er nooit meer van af komt als je eenmaal 'ja' zei.

Voor je 2FA bij MS en Google hebben ze je 06 niet nodig. Google wil het sowieso al voordat je een account aanmaakt. MS is het nog steeds optioneel. Dus ik weet niet waar je het over hebt. Voor OTP hoef je alleen een code in te voeren in een app/stuk programmatuur op een secure device. Dit kan en wordt vaak gedaan via QR code.

Mijn wachtwoorden zijn lang en complex, dus het uittypen duurt ongeveer even lang. Daarnaast hoef je bij je Google account je 2FA niet voor elke inlog te gebruiken. Als je voor het eerst met 2FA inlogt, wordt aan je gevraagd of jouw huidig apparaat moet worden onthouden. Als je dat dat doet, dan hoef je maar eens in de maand je 2FA te gebruiken, en gebruik je daartussen alleen je wachtwoord.

Om een yubikey te kunnen gebruiken moet je overigens wel een backup 2FA optie aan hebben staan, voor het geval je jouw yubikey kwijt raak. Google biedt de optie om of je telefoonnummer te registreren voor 2FA via SMS, of de Google Authenticator app in te stellen voor jouw account. Je bent dus nadrukkelijk totaal niet verplicht om je telefoonnummer af te staan.

Als laatst kan je prima voor je DigiD SMS verificatie aanzetten. Als je er vanaf wilt, dan zet je het uit, en hoor je er niets meer over (vorige week nog gedaan toen iemand bij mijn DigiD moest en mijn telefoon niet kon afstaan). Als je het weer aan wilt zetten, moet er een fysieke brief naar je verstuurt worden met een activeringscode.

Je kunt je ook afvragen wie anno 2017 geen telefoon met SMS functie heeft,

IK. Geen mobiel en mn vaste lijn snapt het ook niet.

@(id)init
Het is alweer een jaar of tien geleden, maar ik wilde toen ook geen mobiele telefoon en wel sms kunnen ontvangen. Ik heb toen een apparaatje gekocht wat inderdaad sms kan ontvangen en versturen via een gewone telefoonlijn. Ik weet niet of die nog bestaan, maar 't zou een oplossing voor je probleem kunnen zijn.

nee iets wat je weet en iets dat je hebt is altijd al De manier gewest bij 2factor authenticatie, ze zouden er een google-auth achtig apparatje voor kunnen maken maar ja - geen mobiel, dan zul je die ook wel niet bij je willen dragen, kortom dan is het altijd wat... ik vraag me in beginsel al af, hoe je met alle dreiging en problemen van nu aan 112 wilt zien te komen als je geen mobiel hebt, het is niet alsof er nog telefooncellen bestaan, en ook niet alsof, help bel een een twee - en bonken op de deur gaat helpen ... misschien bellen ze idd dat nummer maar dan zeker NIET met de melding die jij wilt.

Aan iets van two-factor authenticatie zal je niet ontsnappen gezien de gevoeligheid van gegevens waar het account je toegang toe geeft. Gelukkig zijn er alternatieven. Naast SMS wordt er ook TOTP (Google Authenticator) aangeboden, wat je op je tablet of zelf op je desktop (in sommige passwordmanagers) kan gebruiken. Of je koopt een U2F security key.

[Reactie gewijzigd door Rafe op 25 maart 2017 16:28]

Ik heb dat apparaatje waarmee je via een vaste kpn-lijn kan/kon sms'en (zie mijn eerdere reactie) tussen mijn elektrische troep gevonden. Als je wil, dan mag je 'm hebben.
Ik weet alleen niet of kpn die service nog steeds biedt.

Schaf er dan een aan.

Maar dan op kosten van de overheid. Als (id)init geen mobiel heeft dan moet je hem niet via een omweg verplichten.
Ik help, als vrijwilliger, mensen met invullen van overheids papierem en er is een redelijk grote groep ouderen die dit ook niet heeft, en sowieso dit te moeilijk gaat vinden.

Je hebt voor een tientje al een domme telefoon, hoezo moet de overheid dat bekostigen?
Als burger zijnde heb je ook plichten en jij kan wel een computer met internet bezitten en geen mobiele telefoon?
Wat als jij op straat ineens last krijg van je hart?
Ik doe mijn deur niet voor onbekenden open, echt niet.. dat vertik ik.
Hoe wil jij dat de alarm diensten bereiken?

Ik ben de kluts kwijt met al die systemen..
Waarom niet gewoon DigiD? maar dan een uitbreiding.
1 keer inloggen met DigiD, geef de optie upgrade naar DigiD2 of uitloggen.

ipin idin of wat dan ook, het zegt mij al helemaal niks.. mensen moeten er weer aan wennen en vertrouwen... echt ongelofelijk.

Omdat DigiD geen niveaus kent qua gegevens, dus als ik met digid zou inloggen met de slijterij, dan zien zij teveel gegevens dan wettelijk mag.

De reactie van de leverancier van de dienst is dat het een bedoeling van de pilot is om beveiligingsproblemen te ontdekken. De reactie van de verantwoordelijke voor de pilot is dat het strenge eisen stelt aan de beveiliging.

Testen van nieuwe diensten is belangrijk. Afhankelijke partijen hebben er een groot belang bij dat als het in de markt moet werken het zo min mogelijk verliezen geeft. Maar een pilot waarbij ondernemingen en overheidspartijen dan particulieren nodig hebben heb je andere belangen dan in een testomgeving waar je je dienst nog gecontroleerd kan testen op voor de hand liggende beveiligingsproblemen die grote gevolgen kunnen hebben voor die particulieren.

Op de website van een leverancier staat bijvoorbeeld het volgende promoverhaal.

Een groot deel van de patiënten is gewend aan het huidige systeem en wil daarom niet dat er iets verandert. Ze zijn zich niet bewust van de veiligheidsrisico’s. Ik merk dat het heel belangrijk is om patiënten uit te leggen dat we van inlogsysteem veranderen om de veiligheid van hun gegevens te waarborgen en risico’s te mijden. Als mensen dat beseffen, vinden ze het vaak geen probleem meer om er even wat extra moeite voor te doen.

De reacties en verkoopteksten zijn manieren om de identiteitsdienst, de verantwoordelijken en de pilot goed te laten overkomen. Je hebt daar als particulieren, die als deelnemers waarschijnlijk weinig kennis en inbreng heeft over bijvoorbeeld veiligheid en privacy, erg weinig aan als blijkt dat de meest simpele beveiligingsmaatregelen niet zijn genomen maar er wel heel veel eisen zijn gesteld voordat investeerders mogen deelnemen. Met alleen het stellen van eisen en het houden van een pilot heb je nog geen veilig systeem. In een ideale wereld ligt de last daarvan bij de investeerders.