Inloggen met DigiD-app kan bij alle Nederlandse overheidsorganisaties

De DigiD-app van overheidsdienst Logius kan nu gebruikt worden om bij alle Nederlandse overheidsorganisaties in te loggen. Dit was eerst alleen mogelijk bij een paar diensten. Logius wil ook nfc-verificatie met de app mogelijk maken.

Logius maakte dit via een nieuwsbericht bekend. De DigiD-app, die in maart uitkwam, kon eerst alleen gebruikt worden om in te loggen bij een beperkt aantal overheidsdiensten, waaronder de Dienst Uitvoering Onderwijs, Studielink en de Belastingdienst Toeslagen. Bij andere diensten moesten een gebruikersnaam, wachtwoord en eventueel sms-bericht gebruikt worden om in te loggen. Nu is het mogelijk om de app te gebruiken bij alle overheidsorganisaties die DigiD-verificatie ondersteunen. Hieronder vallen bijvoorbeeld gemeentewebsites, zorgverzekeraars en het Donorregister. Op de website van DigiD staat een lijst van de organisaties die DigiD-diensten gebruiken.

Bij sommige overheidsdiensten is het nog mogelijk om zonder sms-bericht of DigiD-app in te loggen; dit verschilt per organisatie. In juni werd al bekend dat inloggen met alleen een gebruikersnaam en wachtwoord op termijn niet meer mogelijk zal zijn. Met de DigiD-app kan een gebruiker inloggen door een qr-code te scannen en zijn of haar eigen pincode in te voeren.

In het nieuwsbericht vermeldt Logius ook dat de organisatie in de toekomst nfc-verifcatie mogelijk wil maken. Zo zou een identiteitsdocument zoals een paspoort, waar een rfid-chip in is verwerkt, via de nfc-lezer van smartphones gecontroleerd kunnen worden. Hiermee moeten gebruikers beter kunnen worden geïdentificeerd.

Reacties (77)

[incaz]

Een app als alternatief voor 2FA: prima, wil ik aan meewerken. Maar op tablet en foon alleen inloggen met een 5-cijferige pincode? (En ook: weer een 5-cijferige code - hoe onthoud je die allemaal?)

En betekent dit dat je niet meer kunt inloggen als je telefoon kapot gaat/verliest en je weer het moeizame proces van de handmatige papieren activering moet doorlopen?

[SinergyX]

Je kan altijd terugvallen op naam/wachtwoord + sms, die werkt altijd.

[incaz]

Maar, blijft sms? Want als het blijft, dan is het geen oplossing voor de veiligheidsproblemen met sms, maar als het verdwijnt legt dat wel een enorme last bij de burgers om een smartphone te hebben (en dan waarschijnlijk ook nog een vrij actuele smartphone ook. Wat me ertoe brengt: het zou nu alvast gewoonte moeten worden om bij apps met zulke impact.)

DigiD is wat dat betreft niet zomaar een dienst of app: het is iets met nog een fractie meer mogelijke impact dan je bankrekening. Minder vaak nodig over het algemeen, maar de gevolgen kunnen zeer ingrijpend zijn, zowel van identiteitsdiefstal als van bijvoorbeeld het niet tijdig kunnen melden van gegevens bij de diverse instanties.

(Als ik mijn bankpas kwijt raak, kan ik niet pinnen en da's vervelend. Maar niet tijdig melden van gegevens kan je aangemerkt krijgen als fraudeur en je makkelijk opzadelen met enorme boetes: en de bewijslast ligt omgekeerd. Zo is er met pijn en moeite door de Ombudsman voor elkaar gekregen dat een boete werd kwijtgescholden wegens verzuim meldplicht, omdat de betreffende burger buiten bewustzijn in het ziekenhuis lag. In die context is het kwijtraken van je toegang tot DigiD iets met grote impact.

Da's niet om meteen elk nieuw initiatief de grond in te boren, maar dit zijn belangrijke overwegingen die nu al deel van de discussie horen te zijn naar mijn mening.)

[Freak_NL]

De overheid zal voorlopig wel moeten, omdat het verplicht stellen van het bezit van een actuele Android of IOS smartphone wel erg ver gaat. Pas als er voldoende alternatieven aangeboden worden voor SMS kan die methode geschrapt worden. Effectief zal dat betekenen dat je straks om in te kunnen loggen bij de overheid verplicht wordt tot het bezit van of toegang tot (bijvoorbeeld via een bibliotheek of wijkcentrum, of via naasten) een (moderne) computer of smartphone, en dat de authenticatiemiddelen gebruik maken van open standaarden en te ondersteunen zijn op alle gangbare platforms.

Bij NFC met een eNIK of rijbewijs met chip zou dat mogelijk moeten zijn. Met enkel een gesloten smartphone app niet.

[Ventieldopje]

Bij een juiste implementatie krijg je backup codes of kun je die zelf genereren. Die moet je dus ergens veilig bewaren (offline)

[Blokker_1999]

Hoe onthoud je die? Over dezelfde code gebruiken

Of je plaatst er een systeem achter dat alleen jij kent.

[Bruin Poeper]

Een app als alternatief voor 2FA: prima, wil ik aan meewerken. Maar op tablet en foon alleen inloggen met een 5-cijferige pincode? (En ook: weer een 5-cijferige code - hoe onthoud je die allemaal?)

En betekent dit dat je niet meer kunt inloggen als je telefoon kapot gaat/verliest en je weer het moeizame proces van de handmatige papieren activering moet doorlopen?

En voor de veiligheid regelmatig je PINcodes wijzigen.
Je moet de wijzigingen ook onthouden.
En als verrassing ook ineens leestekens en/of cijfers en/of hoofdletters.
Daar sta je dan te bedenken "wat zal ik nu weer eens nemen" (wat ik nog kan onthouden)

[Tarax]

Misschien heb je hier dan wat aan?: http://masterpasswordapp.com/

[Bruin Poeper]

Nee, stel je voor dat 'Masterpass' niet meer werkt..., bv doordat je Windows opnieuw moet installeren.
Ik heb nu al meer dan genoeg problemen met Firefox 'herstellen' (gaat niet).
Ondanks dat ik netjes backups heb gemaakt. Met Windows backup, pfff.

[Tarax]

Niet meer werkt? Hoe bedoel je dat? Master Password is er voor het volgende:
"Get it for: iPhone / iPad | Mac Desktop, Homebrew | Desktop (Java) | Terminal (C) | Android (Beta) | Web (Beta)".

Ik gebruik de android-app en soms de webversie (onder win of linux).
Als je je apparaat kwijtraakt of je windows crasht, heb je gewoon altijd nog je passwords, via je naam en master pasword op een willekeurig ander apparaat.

[Bruin Poeper]

Xit nit zitte.

[Tarax]

Prima, da's jouw keuze natuurlijk.
Ik ben er erg tevreden mee.

[jb1981]

TOTP is wel een stuk minder veilig als een sms of code die verstuurd wordt (als je kijkt naar de techniek). TOTP codes worden gegenereerd op basis van een vaste seed (string) en tijd. Een SMS of andere code die per sessie gegenereerd wordt is uniek (veiliger). Ja, een sim is te clonen/hijacken daarmee te onderscheppen...

[Ventieldopje]

Vaak krijg je bij sms een HOTP code of een TOTP met een langere verloop tijd.

Verder ligt het echt aan de implementatie zoals welk algoritme gebruikt wordt en hoeveel cijfers je genereert. Vrij standaard is SHA1 en 6 cijfers maar als je helemaal los wil gaan staat niets je in de weg om SHA512 te gebruiken en met 20 cijfers te werken.

[Matthijs Hoekstra]

Zucht, via de app werkt alleen als je SMS ook aan hebt staan. SMS kun je alleen aanzetten als je in NL woont. Ik woon in de US dus kan de app dus niet activeren.....

[Le Marquis]

Ik vind het nogal rigoureus om de eindgebruiker te forceren om 2FA te gebruiken. Het feit dat ik dit niet zelf kan kiezen is vanuit UX perspectief een issue. Maar we weten allemaal dat overheid en UX niet samengaan.

[Digihans]

De eerste grote pilot met eID heeft al plaatsgevonden.
Men kon hiermee de belastingaangifte doen.

[SinergyX]

Ben benieuwd of hiermee de cijfers van mensen die geen sms-authenticatie gebruiken terug zal dringen. Aantal overheidssites mag je afaik niet eens inloggen zonder sms-authenticatie, maar stond me bij dat dit een schrikbarend hoog cijfer was.

Ik zit toch op WP, dus werkt nog via de sms-authenticatie

juiste link btw

[WhizzCat]

Ze zijn bezig met eID, maar zo ver is het helaas nog niet