Nederlandse telco's introduceren Mobile Connect voor controleren van identiteit

De Nederlandse Telecomvereniging COIN introduceert in het land Mobile Connect. Dat is een dienst waarbij telco's telefoonnummerverificatie, account takeover protection en persoonsgegevenscontrole kunnen uitvoeren voor andere partijen.

Vereniging COIN legt op zijn website uit dat de diensten van toegevoegde waarde kunnen zijn voor bijvoorbeeld banken, webwinkels en sociale media. Gebruikers kunnen hun mobiele telefoon gebruiken om hun aandeel in het proces te volbrengen. COIN presenteert de functionaliteiten van Mobile Connect als een alternatief op gebruikersnamen en wachtwoorden en als aanvulling op het gebruik van 2fa via sms.

COIN beschrijft de drie functies in het 'Mobile Connect-portfolio' op zijn website. Number Verify stelt dienstverleners in staat om te controleren of een gebruiker het telefoonnummer dat hij of zij opgeeft, ook daadwerkelijk in zijn of haar beheer heeft.

Met de tweede functie, Account Takeover Protection, kan gecontroleerd worden of de sim-kaart van een gebruiker recent is verwisseld. Dit zou de functie geschikt maken om sim-swap-fraude tegen te gaan en daarmee de betrouwbaarheid van 2fa via sms verbeteren.

De laatste functie, Match, gaat over identiteitsverificatie. De door de gebruiker opgegeven gegevens worden vergeleken met die in de database van zijn of haar telecomprovider. Dit zou privacyvriendelijk geschieden doordat beide sets gegevens eerst versleuteld worden en die versleutelde gegevens met elkaar vergeleken worden. COIN zegt dat persoonsgegevens alleen gedeeld worden 'wanneer dat echt nodig is' en 'worden versleuteld'.

De deelnemende telco's van Mobile Connect zijn KPN, T-Mobile en Vodafone. Sinds de overname van Tele2 door T-Mobile in 2017 zijn er nog drie providers met een eigen netwerk en dat zijn de drie deelnemers aan Mobile Connect. Wellicht dat dat telco's die van hun netwerk gebruikmaken ook in staat stelt om Mobile Connect-diensten aan te bieden. COIN stelt dat Mobile Connect in 30 landen beschikbaar is en meer dan 473 miljoen gebruikers heeft.

Mobile Connect is ontwikkeld door de GSMA, of GSM Association, die ook het Mobile World Congress organiseert. De GSMA heeft ook een webpagina en een aparte website, inclusief datasheets, gewijd aan Mobile Connect. Ook KPN heeft er een informatiepagina voor opgezet. Daar wordt ook de aanvulling gegeven dat de gebruiker geen applicatie hoeft te installeren om Mobile Connect te gebruiken. Voorbeelden van bedrijven die de dienst gebruiken, lijken er op dit moment nog niet te zijn.

Reacties (63)

[dutchnltweaker]

Met de tweede functie, Account Takeover Protection, kan gecontroleerd worden om de sim-kaart van een gebruiker recent is verwisseld. Dit zou de functie geschikt maken om sim-swap-fraude tegen te gaan en daarmee de betrouwbaarheid van 2fa via sms verbeteren.

Mooi om te horen, iemand die ik ken is dit gebeurd. Kan je zeggen dat dit totaal niet lollig is als dingen als bank zaken (toen nog tan code), digid, of andere accounts opeens niet meer bereikbaar zijn. Ik heb diegene ook geadviseerd om zo min mogelijk dingen te koppelen waar mogelijk is met een 06 nummer, maar daarvoor een tweefactorauthenticatie app te gebruiken. Of een 2e prepaid simkaart gebruiken voor aparte zaken (meeste telefoons zijn tegenwoordig toch dualsim).

[Reactie gewijzigd door dutchnltweaker op 23 juli 2024 04:40]

[Dazenet]

Tja...aparte nummers/email adressen/namen gebruiken voor verschillende soorten diensten.
Ook nadenken over wat je weggeeft, want dat is ook een dingetje.
Whatsapp heeft jouw telefoonnummer helemaal niet nodig voor hun dienst, maar het is zo fijn om dat van je te vragen.
Een online dienst hoeft ook helemaal niet te weten waar je woont...maar het is zo fijn om dat van je te vragen.

In een wereld van "we willen alles van je weten" (en Nederland is daar een voorloper in) kan je dus met de in het artikel beschreven functionaliteit je prepay SIMs wel in de prullenbak gooien, en dat lijkt mij dan ook precies de achterliggende gedachte van het systeem.

Het probleem ligt ook grotendeels bij de bedrijven en instellingen die diensten aanbieden. Natuurlijk zullen er altijd slimme jongens zijn die misbruik van iets of iemand maken, daar doet ook dit systeem niets tegen.

PS: voor SIM-swap fraude kan je telco een aantal heel simpele safeguards invoeren.

[WhatsappHack]

“Whatsapp heeft jouw telefoonnummer helemaal niet nodig voor hun dienst, maar het is zo fijn om dat van je te vragen.”

Dat is imho wel een slecht voorbeeld, want met het idee (destijds) om een drop-in replacement te vormen voor SMS met dezelfde gebruiksvriendelijkheid zonder gezeik met buddylists en enzo was het gebruik van telefoonnummers bij WhatsApp natuurlijk gewoon functioneel de beste en logische keuze. Als je een dienst wilde die met nicknames en buddylists werkte waren er al duizend alternatieven op de markt.

Bij GMail en Microsoft account is het een beter voorbeeld. Daar kan je random opeens gedwongen worden je nummer op te geven “voor verificatie”, terwijl je daar gewoon een standalone account voor e-mail hebt waarbij het telefoonnummer dus ook functioneel echt geen enkele toegevoegde waarde heeft.

[Zer0]

waarbij het telefoonnummer dus ook functioneel echt geen enkele toegevoegde waarde heeft.

Two factor authentication en password recovery...

[WhatsappHack]

Dat is als je daar zelf voor kiest; en als je dat niet doet is het je eigen probleem. Maar niet waar ik op doelde. Het is als je in probeert te loggen naar je GMail of Microsoft Account waar je nooit een nummer aan hebt toegevoegd en opeens wordt dat arbitrair geeist. Geen aankondiging, geen opgave van reden - het verschijnt opeens in beeld. Doe je het niet, dan mag je niet inloggen en kom je simpelweg niet bij je mail. Je kan elk nummer intikken wat je wil zolang je de SMS code daarna maar kan invoeren en dan mag je er weer in, ze eisen gewoon een telefoonnummer en anders houden ze je data in gijzeling.

[Dazenet]

Wat @WhatsappHack zegt. Je zou in ieder geval een keuze optie moeten krijgen.
Ik heb deze irritante verplichte wijzigingen ook al een aantal maal meegemaakt.

Voor wat betreft password recovery...

[Dazenet]

Je hebt niet ongelijk.

Alleen is dat natuurlijk een premise die volkomen mank gaat want mensen veranderen van telefoonnummer en het oude nummer wordt na verloop van tijd opnieuw uitgegeven. Bovendien zou je als gebruiker ook helemaal niet moeten willen dat mensen je via je telefoonnummer kunnen vinden. Iemand die jouw nummer heeft kan je gewoon bellen of SMSen, en zodra je iemand je nummer moet geven om ze aan een veredelde chatapp toe te voegen dan kunnen ze je dus ook lastig vallen als je daar geen behoefte aan hebt.

Ik weet verder niet hoe Whatsapp met veranderende telefoonnummers omgaat want ik gebruik het niet.

Het was alleen maar een voorbeeld. Whatsapp kent iedereen en is dus fijn om af te kraken als voorbeeld te noemen.

Je hebt volkomen gelijk met je GMail en MS voorbeelden. Schandalige praktijken die gewoon verboden zouden moeten worden, net als het leegzuigen van kontaktlijsten waar de mensen die daar in staan helemaal geen toestemming voor hebben gegeven. Dat zijn andere discussies, die we ongetwijfeld nog wel eens tegen zullen komen op Tweakers.

[WhatsappHack]

Alleen is dat natuurlijk een premise die volkomen mank gaat want mensen veranderen van telefoonnummer en het oude nummer wordt na verloop van tijd opnieuw uitgegeven.

Sure, maar dat is precies hetzelfde voor bellen en SMS-en; en het is dus bedoeld als drop-in replacement. Dus dat sluit juist perfect aan bij de koppeling aan telefoonnummer. Krijg je het nieuwe nummer van iemand niet? Pech gehad.

Bovendien zou je als gebruiker ook helemaal niet moeten willen dat mensen je via je telefoonnummer kunnen vinden.

Dat is nou juist net wat het overgrote deel van de gebruikers wél willen. Lekker simpel. Iemand heeft je nummer? Kunnen ze niet enkel bellen of ouderwets SMSen, maar ook relatief veilig, simpel en internationaal dekkend berichtjes en media uitwisselen. Heel simpel, heel snel, precies wat ze willen.

Iemand die jouw nummer heeft kan je gewoon bellen of SMSen, en zodra je iemand je nummer moet geven om ze aan een veredelde chatapp toe te voegen dan kunnen ze je dus ook lastig vallen als je daar geen behoefte aan hebt.

Je moet niets natuurlijk. De koppeling zit hem simpelweg evenals bellen en SMS-en aan je telefoonnummer. Dus iemand die jouw nummer heeft kan je gewoon bellen, SMS-en of <insert chatapp op basis van tel.nummer>. Wil je dat iemand je niet kan bellen, smsen of 'appen'? Dan geef je je nummer niet. Geef je je nummer wel, dan kunnen ze je óók appen als je WhatsApp hebt. Wil je dat niemand je kan WhatsApp'en? Nou dan registreer je jezelf dus simpelweg niet. En wil je iets anders, dan gebruik je dat. Maar voor het doel van wat WhatsApp wil bereiken en wat diens gebruikers willen, zijn telefoonnummers perfect geschikt en doen juist exact wat de gebruiker wil: contact discovery op basis van telefoonnummers.

Zo is er voor ieder wat wils natuurlijk he. Wil je met telefoonnummer werken dan kan je WhatsApp gebruiken, of eigenlijk veel beter: Signal. (Stuk veiliger/privacy vriendelijker). Wil je dat niet: installeer dan een van de legio apps die met ID's werken. Bijvoorbeeld Threema, Teams (email), whatever.

Als je niet wil dat iemand je "lastig kan vallen", zou ik gewoon je nummer niet geven. Heel simpel. Ik bedoel... als ze m'n nummer hebben kunnen ze me ook bellen en SMSen en dat is 10x irritanter dan berichtjes via apps; dan nog liever dat ze appen, niets irritanter dan onaangekondigde bellers. En als ik enkel met iemand wil kunnen chatten of berichten uit wil wisselen/niet vertrouw dat ze me niet lastig vallen, dan geef ik ze gewoon m'n emailadres; maar niet m'n telefoonnummer. En gelukkig heeft WhatsApp ook een fijne "blokkeer" knop, iets dat wat lastiger gaat bij bellen gezien mensen hun nummer kunnen verbergen.

Ik weet verder niet hoe Whatsapp met veranderende telefoonnummers omgaat want ik gebruik het niet.

Je kan als gebruiker als je een nieuw nummer krijgt heel simpel vanuit de app aangeven dat je nummer wijzigt. Het oude nummer wordt dan gedropt uit de database en vervangen met de nieuwe. Je kan kiezen of je al je contacten meteen op de hoogte wil stellen of juist niet en je groepen wijzigen met je mee. Je kan er ook voor kiezen om gewoon een nieuw account aan te maken en je oude installatie te verwijderen. Wel zo handig om je eerst af te melden dan, maar doe je dat niet dan knikkert WhatsApp na een tijdje (geloof 60 dagen niet inloggen o.i.d.) je account weg.

[Dazenet]

Nou nou, dat is een heel verhaal.

Waar ik op doelde met het gekoppelde telefoonnummer; een app kan je uitzetten terwijl je dan evengoed nog telefonisch bereikbaar bent. Het is maar een voorbeeld (zoals al eerder gezegd). Je kan ook gewoon een burner SIM nemen en daar je Whatsapp mee installeren terwijl je je privénummer ook gewoon privé houdt.

Zo is er voor ieder wat wils natuurlijk he. Wil je met telefoonnummer werken dan kan je WhatsApp gebruiken, of eigenlijk veel beter: Signal. (Stuk veiliger/privacy vriendelijker). Wil je dat niet: installeer dan een van de legio apps die met ID's werken. Bijvoorbeeld Threema, Teams (email), whatever.

Ach ja...Ik heb wel een app die ik gebruik en telkens als iemand mij om mijn telefoonnummer vraagt om aan Whatsapp toe te voegen, of mensen die vragen waarom ze mij niet aan Whatsapp kunnen toevoegen, dan geef ik ze de keuze om "mijn" app te gebruiken of ...niet

Het probleem is dat de meeste mensen (in ieder geval in Nederland) denken dat Whatsapp de enige is, en als ze al beter weten dan hebben ze geen behoefte aan "nog een app". Dat begrijp ik ook wel, maar waarom zou ik dan wel "nog een app" moeten installeren. Ik heb daar ook geen behoefte aan.

Ik heb niet het gevoel dat ik ook maar iets mis.

Wel leuk dat je het zo uitlegt. Nu weet ik toch weer iets meer over Whatsapp

[CH4OS]

Tja...aparte nummers/email adressen/namen gebruiken voor verschillende soorten diensten.

Naast dat dit best prijzig wordt, is dit ook redelijk onmogelijk om voor iedereen te doen. Er zouden dan telefoonnummers te weinig zijn.

[911GT2]

Waar ben je bang voor? Ik zie werkelijk niet wat ‘the big deal’ is hier.

[logix147]

Betreft het Probleem simswappen: zit hem met die simkaart swap dat dit ook door niet-telcos gedaan moet kunnen worden bijv de zakelijke markt IT afdeling. Als je een beetje afneemt kan je zelf abonnementen aansluiten, doe ik al jaren bij diverse IT bedrijven waar ik rondgelopen heb. Nadeel is dat je ook vaak toegang hebt tot de consumentenmarkt want veelal zit het systeem waar de simkaart “gekoppeld” wordt niet in een afgeschermd deel van het bestand.

Ik heb tot heden maar 2 leveranciers gezien die daar een scheiding in gemaakt hebben.

Echt dieper kan ik er niet op in gaan, maar zou bijv een goed idee zijn om bijv Sim swappen met je MyMobileProviderAccount te kunnen als 2FA methode. Bijv door een e-mail te ontvangen of een bel/sms op een ander account wat je ooit opgegeven hebt.

Nadeel is dat iets sturen op dezelfde Sim als wat de klant wil/moet swappen dat iets als diefstal bijv je dan onvriendelijk moet wachten op een nieuwe Sim. Dat wil je als provider ook niet dus ja het is lastig het goed te doen.

We kunnen alles aan DigiD hangen maarja daar zit privacy technisch ook niemand op te wachten. Het is moeilijk een vriendelijk maar foolproof systeem te bedenken.

[Reactie gewijzigd door logix147 op 23 juli 2024 04:40]

[PhilipsFan]

Ik zie die identiteitsverificatie nog wel op 100 manieren fout gaan. Dus de gegevens worden eerst 'versleuteld', ze bedoelen dat ze er een hash oid van maken? Dus als je bij je provider geregistreerd staat als J Jansen en je geeft als naam J. Jansen op, dan gaat het al kapot.

Daarbij komt, dat je misschien helemaal niet moet willen dat je provider precies weet wie je bent? Dat is toch niet relevant, zolang je je rekening betaalt? Kan ik eigenlijk een abonnement nemen bij een telco zonder me te identificeren? Bij Ziggo lukt dat, maar bij KPN moest ik me laatst wel identificeren met een geldig id-bewijs...

[Houtenklaas]

Weleens van het CIOT gehoord? Daar staan al jouw gegevens opgeslagen van jouw telefoon (IMSI/06) en internet (IP) inclusief NAW gegevens en alles wat ze maar nodig denken te hebben. Een abonnement nemen zonder je te identificeren is kansloos. Niet alleen bij KPN, maar elke provider in NL. Voor de luie klikker gelijk het leukste stukje tekst uit die CIOT site:

Criminele activiteiten opsporen met telecomgegevens
Telecom- en internetaanbieders moeten telecom- en internetgegevens van hun klanten beschikbaar stellen voor onderzoek naar criminele activiteiten. Dit staat in het Besluit verstrekking gegevens telecommunicatie. Het gaat om de volgende persoonlijke informatie:

• een adres dat hoort bij een telefoonnummer;
• een e-mailadres;
• IP-adres.

En niet achteraf, maar elke dag weer. Uit deze wetstekst lees ik dat men 24 uur per dag toegang heeft tot deze gegevens:
De aanbieder verstrekt de informatie door tussenkomst van het informatiepunt. Daartoe verleent de aanbieder het informatiepunt langs geautomatiseerde weg gedurende 24 uur per dag rechtstreekse toegang tot de bestanden, bedoeld in artikel 4, eerste en tweede lid.

Tot zover je privacy.

[Reactie gewijzigd door Houtenklaas op 23 juli 2024 04:40]

[911GT2]

‘Privacy’ leg eens uit dan hoe het ergs is als je telco kan zien wie je bent of waar je bent. Voor wie verstop je?

[Houtenklaas]

‘Privacy’ leg eens uit dan hoe het ergs is als je telco kan zien wie je bent of waar je bent. Voor wie verstop je?

Waar lees je dat nu weer? Mijn provider meldt echter elke dag van de week weer al mijn gegevens aan het "informatiepunt". Dat is namelijk superhandig dat wanneer een instantie mij ergens van verdenkt ze niet op zoek hoeven te gaan naar mijn gegevens, maar dat die hapklaar in te zien zijn. Bij mijn provider ben ik zelf naartoe gestapt, dus die weten wie ik ben en dat is prima. Maar mijn gegevens liggen dus ook ergens bij het één of ander informatiepunt in Den Haag waarvan ik mag hopen dat ze nooit gehacked gaan worden aangezien zo'n beetje heel NL dan op straat ligt met IP nummers, 06 nummers, naam, adres alles. Voor mijn telco hoef ik me niet te verstoppen, die kennen me al. Maar als ik hier meld dat ik Putin de grootste lulhannes op aarde vind, dan wil ik bij een bezoek aan Rusland niet aangehouden worden aan de grens.

Overigens wel grappig dat in jouw profiel staat: Er zijn geen (zichtbare) persoonlijke gegevens opgegeven Voor wie verstop je je? O ironie

[911GT2]

Dat het er niet staat is luiheid. Verder niets. Dus weinig ironie aan.

Blijkbaar voel jij de drang om mensen te bespioneren. Ik heb dat niet. Geen idee wat er op jouw profiel staat. Boeit me ook geen hol.

[Houtenklaas]

Interesse in mensen en bespioneren liggen blijkbaar dicht bij elkaar voor je. Maar met een inhoudelijke reactie kan ik wat meer ...

[mouthman73]

Hoe kunnen ze mijn IP weten als ik VPN gebruik dan?

[The Third Man]

Hoe weet je telco je telefoonnummer? Dat delen ze toch aan jou uit? Je kan immers niet met een zelfgekozen IP adres het internet op.

Of je vervolgens contact legt met een VPN dienst en je verkeer er doorheen tunnelt verandert daar niks aan, dat is slechts de volgende schakel in de verbinding.

[Houtenklaas]

Zou je provider dat niet weten denk je? Of ze jouw IP nummer vervolgens tegenkomen bij bijzondere activiteiten of die van je VPN is een ander verhaal. Maar bij het CIOT hebben ze keurig jouw officieel door de provider uitgegeven IP adres. Elk moment van de dag. Ik ga er van uit dat ze ook de IP mummers bijhouden die jouw smartphone gekregen heeft in combinatie met je 06 / IMSI nummer. Is mijn aanname, hoe kunnen ze die anders aan jou relateren ...

[mouthman73]

Natuurlijk weet mijn provider mijn echte IP, maar zover ik het heb begrepen mag de politie bv daar niet bij .... Ik weet dat een jongen uit de straat mij hacked of iemand uit de wijk met hele sterke een antenne... Maar de politie kan niet bij mijn of andermans ip adres vanwege privacywetgeving, computervredebreuk moet je als gevolg daarvan, als slachtoffer zelf bewijzen.

[Houtenklaas]

Als je mijn linkjes even had doorgenomen, had je deze ontdekt:

bevoegde autoriteit:
1°.de rechter-commissaris in strafzaken, de officier van justitie, de korpschef, bedoeld in artikel 27 van de Politiewet 2012, of het hoofd van een opsporingsdienst, dan wel de door de korpschef voor zijn korps of door het hoofd voor zijn dienst aangewezen opsporingsambtenaar,
2°.het hoofd van de Algemene Inlichtingen- en Veiligheidsdienst, of de door hem aangewezen ambtenaar,
3°.het hoofd van de Militaire Inlichtingen- en Veiligheidsdienst, of de door hem aangewezen ambtenaar;

En er zullen vast nog wel wat restricties zijn zo hier en daar, maar de lat ligt duidelijk niet heel hoog...

[mouthman73]

Maar als jij computervredebreuk meldt bij het plaatselijk bureau dan zeggen ze ja, maar dat kunnen we niet bewijzen.... heb je zelf bewijs?
Dus ja ik weet heus wel dat de échte politie er achter kan komen, maar bromsnor kan dat niet en als thuisgebruiker kom je niet snel bij de 'echte'-politie terecht.

[Reactie gewijzigd door mouthman73 op 23 juli 2024 04:40]

[omtzichtelijk]

Interressant, ik heb 3 "imsi catchers" ontdekt bij mij in de straat, zijn al ongeveer 7 jaar aanwezig. Op cell id.info werd mijn vermoeden bevestigd ook met meerdere ijkpunten in het verleden.
Snoopsnitch geïnstallerd op een rooted smartphone en ja hoor, bingo. Verder nog wat apps geïnstalleerd om zoveel mogelijk false/positives uit te sluiten.
Je kunt op ieder politieburo vragen naar een cyber rechercheur, vragen dus omdat je wordt afgewimpeld.
"meneer allemaal aannames", u krijgt geen afspraak en u kunt geen aangifte doen.

[PolarBear]

Lijkt mij sowieso meer iets voor het agentschap telecom

[omtzichtelijk]

Via antenneregister kwam ik bij het agentschap terecht.
"U moet bij de provider zijn".
Provider: " U kunt bellen en internetten, oh Dbm is wel hoog, wij kunnen u korting bieden ".
IK. "maar ik word teruggeworpen naar 2G"
Kortom ik moest maar een log bijhouden over, hoe en wanneer ik storing had. Heb ik vervolgens gedaan , nooit meer iets over gehoord. Bij alle 3 de netwerken speelt dit probleem.

Ik ben nu 5G met esim aan het testen, lijkt stabieler, maar is ook onbekend en nieuw telefoonnummer.

[Houtenklaas]

Een combinatie van tijd en prioriteit vermoed ik. Die korpschef die bij de informatie is hoofd van de NL politie. Bromsnor heeft die man nog nooit gezien, behalve in het korpsblad. De bijzin is eigenlijk wel cool: dan wel de door de korpschef voor zijn korps of door het hoofd voor zijn dienst aangewezen opsporingsambtenaar Dus ook bromsnor kan die aangewezen opsporingsambtenaar zijn.

Zou een WOB op het aantal aangewezen opsporingsambtenaren per regio kans van slagen hebben? Ik ben eigenlijk wel nieuwsgierig nu ...

[CH4OS]

De VPN-verbinding moet ergens mee opgebouwd worden, denk je niet? Gaat niet met lucht of zo.

[djwice]

Recent gaf m'n telefoon aan dat de provider vroeg om mijn locatie gegevens, gelukkig dat de telefoon het nog meldt, maar eh, sinds wanneer mag een NL Telco zonder voorafgaande toestemming van mij dat vergaren van mijn telefoon?
(Ik heb geen app van de provider geïnstalleerd).

[logix147]

Ik heb bij de groene en rode provider gewerkt.. Hier kan je echt zonder tussenkomst van een gerechtelijk bevel NIET aan.

[Houtenklaas]

Lees de linkjes uit mijn eerdere posts even door. Alle benodigde gegevens worden dagelijks naar het CIOT gestuurd en daar zijn ze inzichtelijk voor bepaalde personen zonder noodzaak van een gerechtelijk bevel. Het staat gewoon in de wet ...

[Verwijderd]

Zeer slechte ontwikkeling. De opmerking "er (zijn) nog drie providers met een eigen netwerk en dat zijn de drie deelnemers aan Mobile Connect", zegt het allemaal. Je kunt er niet onderuit.

De smoes "sets gegevens (worden) eerst versleuteld () en die versleutelde gegevens (worden) met elkaar vergeleken ()", heeft helemaal niets te maken met privacy. Misschien doet het iets voor veiligheid. Pure retoriek want 'men zal wel privacyvragen gaan stellen'.

Deze actie heeft niets voor met gebruikers. Telco's zien dat verificatie en digitale identificatie een groeimarkt is. Ze willen hun stuk van de taart opeisen, plain and simple. Dat mag in de vrije markt, toch? Niet als (de enige) drie partijen een kartelachtige deal hebben voor een omnipotent systeem dat volstrekt privacy onvriendelijk is. Defacto bepalen de Telco's, grote commerciële partijen met louter eigen-belangen (en niet de democratisch gekozen volksvertegenwoordiging), wat wordt vastgelegd, hoe dit gebeurt, hoe dit beveiligd wordt, en zelfs, met wie dit gedeeld wordt.

En "waarom". Ze nemen niet eens de moeite een toepassing (buiten eigen/interne doeleinden) te veinzen: "Voorbeelden van bedrijven die de dienst gebruiken, lijken er op dit moment nog niet te zijn".

Invloed van burgers is helemaal weg met de KPN uitsmijter "gebruiker (hoeft) geen applicatie () te installeren om Mobile Connect te gebruiken".

Wij regelen het voor u, gaat u maar rustig slapen.

Disclaimer: Ja, er zijn ook een paar andere partijtjes die telecomdiensten aanbieden. Gezien de netwerkmacht van "de drie" hebben die nul zeggenschap. En wat weerhoud die drie ervan álle diensten (abo's) op hún netwerk te 'verrijken'?

[CH4OS]

Zeer slechte ontwikkeling. De opmerking "er (zijn) nog drie providers met een eigen netwerk en dat zijn de drie deelnemers aan Mobile Connect", zegt het allemaal. Je kunt er niet onderuit.

Aanname. De virtuele providers hoeven het niet per sé ook te gaan gebruiken, er is immers geen plicht om het te gaan gebruiken. Het is ook afhankelijk of de tussenliggende partijen (de Mobile Virtual Network Enablers, of MVNE) voor een MVNO (of Mobile Virtual Network Operator, zoals een virtuele provider in technische zin heet) het ook gaan leveren/ondersteunen of niet.

Disclaimer: Ja, er zijn ook een paar andere partijtjes die telecomdiensten aanbieden. Gezien de netwerkmacht van "de drie" hebben die nul zeggenschap. En wat weerhoud die drie ervan álle diensten (abo's) op hún netwerk te 'verrijken'?

Het is nog maar de vraag of MVNE's of MVNO's het ook gaan gebruiken en zo ja, of zij het dan ook gemakkelijk kunnen implementeren. Dat weet je niet. Dat de MNO's (Mobile Network Operator, KPN, VodafoneZiggo en T-Mobile) van NL het gaan ondersteunen zorgt er dus alléén voor dat het netwerk die zij aanbieden er ondersteuning voor heeft, niets meer, niets minder.

Ook is het een beetje loos statement om te zeggen dat er geen zeggenschap is, je hebt duidelijk geen idee hoe het (mobiele) netwerk is opgetuigd, maar doet wel uitspraken die niet eens kloppen en dus maak je aannames.

Het mobiele netwerk van Nederland is vele malen complexer dan je denkt en daardoor maak je (foute) aannames. COIN is destijds door de MNO's in het leven geroepen om te zorgen dat de boel gestroomlijnd werd. Zo hebben zij ook porteringen tezamen met de providers gestroomlijnd en een derde partij aangewezen (PortingXS) dat min of meer fungeert als politie agent op een kruising die richting geeft aan het (porterings)verkeer. Het artikel zegt daarbij alléén dát het komt, jij vult vervolgens zondere verdere technische info of kennis de rest in, best jammer om te zien.

Wij regelen het voor u, gaat u maar rustig slapen.

Het is dan ook niet bedoeld als extra dienst voor de eindgebruiker, maar het indammen van criminaliteit en fraude tegen te gaan. De eindgebruiker heeft er baad bij (betrouwbaarheid neemt immers toe, bijvoorbeeld van 2FA via SMS), maar heeft er ook geen al te grote last van. In de praktijk ga je als gebruiker (de MSISDN-nummers) er inderdaad niets van merken.

EDIT:
Met bijvoorbeeld pre-paid nummers is dit onmogelijk, je hebt dan immers geen contract met de provider en de provider heeft dan de informatie over jou dus niet die zij wel nodig zijn om bijvoorbeeld de Match dienst te kunnen aanbieden. Ook moet een derde partij dan Mobile Connect geimplementeerd hebben, dus de vraag is hoeveel het gebruikt gaat worden in de praktijk.

[Reactie gewijzigd door CH4OS op 23 juli 2024 04:40]

[djwice]

Als bedrijf gebruik maakt van COIN heeft die gegevens van gebruiker A. Deze krijgen een hash, die wordt verstuurd en vergeleken met de hash van COIN.

Door dit type vergelijken kan COIN niet valideren of er een "enumeration"-attack op de data plaats vindt.

COIN kan daarmee gebruikt worden om incomplete data aan te vullen. Bijvoorbeeld als je als op internet gegevens over persoon A hebt ge-scrape-t, kun je met een aantal combinaties valideren welke combinatie van gegevens overeenkomt met de gegevens bij de mobiele provider, zonder dat je de dat bij de provider hebt ingezien. Zo kan op een structurele manier de COIN database worden uitgelezen.

Het wordt ook interessant als je bewust andere contact gegevens gebruikt voor je Telco als voor een ander bedrijf (bijvoorbeeld ander e-mailadres i.v.m. routering).

Of je zakelijk telefoonnummer moet gebruiken maar een ander post adres dan die van de holding moet gebruiken voor de levering.

Samengevat lijkt me dat er nog wat praktische uitdaging aan dit systeem zitten, die niet triviaal oplosbaar zijn.

[Reactie gewijzigd door djwice op 23 juli 2024 04:40]

[CH4OS]

Als bedrijf gebruik maakt van COIN heeft die gegevens van gebruiker A. Deze krijgen een hash, die wordt verstuurd en vergeleken met de hash van COIN.

Gegevens die ze zonder de COIN ook al hebben. Echter gaat nu een en ander (versleuteld) gecentraliseerd worden, zodat het een en ander gemakkelijker te controleren en verifiëren is. Hiermee kan men bijvoorbeeld een SMSje voor een 2fa challenge versturen en tevens checken of het wel de juiste SIM-kaart is die de SMS gaat krijgen

Door dit type vergelijken kan COIN niet valideren of er een "enumeration"-attack op de data plaats vindt.

COIN kan daarmee gebruikt worden om incomplete data aan te vullen. Bijvoorbeeld als je als op internet gegevens over persoon A hebt ge-scrape-t, kun je met een aantal combinaties valideren welke combinatie van gegevens overeenkomt met de gegevens bij de mobiele provider, zonder dat je de dat bij de provider hebt ingezien. Zo kan op een structurele manier de COIN database worden uitgelezen.

Gezien er met hashes gewerkt gaat worden, kan COIN alleen die hash controleren en afkeuren als het niet goed blijkt te zijn. Data kan er dus niet mee aangevuld worden, data die je niet hebt, kun je niet geven immers; door de hashing kan COIN ook niet aangeven welke informatie er mist of niet goed staat.

Het wordt ook interessant als je bewust andere contact gegevens gebruikt voor je Telco als voor een ander bedrijf (bijvoorbeeld ander e-mailadres i.v.m. routering).

Hoe gaat een e-mailadres helpen bij het betrouwbaarder maken van het mobiele netwerk?

Of je zakelijk telefoonnummer moet gebruiken maar een ander post adres dan die van de holding moet gebruiken voor de levering.

Je hebt denk ik een verkeerd beeld van wat Mobile Connect in de praktijk gaat doen. Het gaat om het betrouwbaarder maken van het mobiele netwerk, zodat bijvoorbeeld verifieerbaar is dat een SMS daadwerkelijk op de juiste telefoon binnenkomt (om een simpel voorbeeldje te noemen).

Samengevat lijkt me dat er nog wat praktische uitdaging aan dit systeem zitten, die niet triviaal oplosbaar zijn.

Een e-mailadres kan een telefooncentrale niet gebruiken om te verifieren dat IMEI-nummer X en SIM-kaart nummer Y bij elkaar horen.

EDIT:
Ik heb ook even verder gelezen, je kunt Mobile Connect ook gebruiken voor authenticatie in apps en websites. In dat op zicht is de video wat verwarrend in relatie tot het artikel. Er wordt immers geschreven dat er geen app nodig is, waar de video min of meer impliceert dat voor authenticatieverzoeken dit wel het geval is. Hoewel die opties ook tot de mogelijkheden behoren, gaat dat deel (zover ik het nu althans begrijp) niet gebruikt worden en gaat het enkel gebruikt worden voor verificatie onderling.

EDIT2:
De vraag is echter ook, voor bijvoorbeeld de Match dienst in hoeverre dat gebruikt gaat worden. Een app of website (van een bank, winkel, social website, whatever) moet het immers ook implementeren om het te kunnen gebruiken. Feit blijft dat een provider alleen de gegevens kan gebruiken die zij van jou hebben en die zij sowieso al moesten hebben bij het aangaan van het contract. Met prepaid nummers zal dit systeem dus nooit werken, daar heb je immers geen contract voor nodig.

[Reactie gewijzigd door CH4OS op 23 juli 2024 04:40]

[djwice]

Ik denk dat mijn bericht wellicht wat onduidelijk was. Het ging hier er niet om dat COIN nieuwe informatie zou krijgen.

Het gaat er om dat de zakelijk gebruiker (Z) COIN relatief makkelijk kan misbruiken voor het verrijking van haar eigen dataset, zonder dat COIN dat kan valideren.

Zakelijk gebruiker gokt daarvoor de waarde van het data veld dat hij niet heeft. En maakt een hash die COIN valideert (en afwijst). Zakelijk gebruiker herhaalt dit totdat COIN het verzoek niet meer afwijst. Daarmee weet zakelijk gebruiker nu de waarde van het tot dan toe onbekende veld.

[CH4OS]

Hoe moet een bedrijf dat doen dan? De Mobile Connect functie gebruikt hashes om te valideren, daar is het niet bij mogelijk om dat te decrypten en missende informatie te achterhalen. Hashing is geen encryptie.

EDIT:
Ik snap nu wat je bedoelt, maar dan moet een bedrijf met een brute force achtige methode de informatie van 1 gebruiker (een klant bijvoorbeeld) gaan zitten gokken, net zolang tot het 'raak' is... Denk je dat dat in de praktijk veel gaat voorkomen? Ik denk dat een bedrijf wel wat meer en beters te doen heeft dan bepaalde data van de klant te gaan zitten achterhalen, die ze vast ook op een andere manier te weten kunnen komen (de klant zelf vragen misschien? ) of toch al hebben.

[Reactie gewijzigd door CH4OS op 23 juli 2024 04:40]

[djwice]

Ik ken bedrijven die de moeite nemen om elke 6 uur alle servers op publieke IPv4 adressen te benaderen om te kijken welke domeinen er op draaien en of er malifide functies aanwezig zijn.

Zo'n data guess brute force is echt heel simpel, zeker als je die wat genuanceerder uitvoert op basis van crawls en dictionaries. Je kunt duizenden hashes maken per seconde.

[Verwijderd]

Bedankt voor je reactie eerwaarde mede-Tweaker.

De enige aannames in deze conversatie zijn de aannames over mijn "idee van hoe het (mobiele) netwerk is opgebouwd", (aanwezigheid van) "technische kennis" en, geparafraseerd, hoe ik denk over de complexiteit "van het mobiele netwerk van Nederland".

We kijken naar de jury: Af! U maakt een, gebruikmakend van uw eigen woorden, "loze" ad-hominem. Deze komt nogal onverwacht, ik ken u niet en ben niet met u in discussie. "De" discussie, zijnde reacties onder een nieuwsartikel, ging voor zover mijn inbreng strekte, over de gang van zaken en de invloed daarvan op privacy van gebruikers versus de baten (altijd met een "t", overigens) die zij daar van kunnen hebben.

Dank voor het bevestigen dat "Het (..) dan ook niet bedoeld als extra dienst voor de eindgebruiker" is.

Ook dank dat u de kans heeft gezien, en gegrepen, de reikwijdte van uw kennis te delen met 'de massa''.


Gratis aanvulling:
U schrijft: "(je doet) uitspraken die niet eens kloppen en dus maak je aannames."

Dus, in uw redenatie:
Iemand die uitspraken doet die niet kloppen, maakt "dus" aannames. -> Dit is een uitspraak die "niet eens" klopt. Iemand kan ook gewoon liegen, bijvoorbeeld.

Kan het wellicht zo zijn dat u een (sterke) negatieve connotatie heeft bij "aannames"? Dat lijkt me vervelend, aannames spelen een hele grote rol in het dagelijks leven. Wat denkt u van de situatie "ik neem aan dat die automobilist de verkeersregels kent en eerbiedigt, en dus stopt, want ik kom van rechts". Of: Ik neem aan dat de tafel vast van vorm is, en het oppervlak zich in zodanige positie ten opzichte van het zwaartekrachtveld bevindt, dat ik mijn kopje daar op kan zetten zonder natte voeten te krijgen?
Zonder aannames hebben we een zeer traag en angstig bestaan. Lang leve aannames.

[kozue]

Ik ben hier ook op tegen. Al is het alleen maar omdat ik niet mijn hele leven aan een mobieltje wil koppelen. Ik wil bedrijven die het niet nodig hebben sowieso geen telefoonnummer geven en dat al helemaal niet gebruiken om mijn identiteit te bevestigen.

Maar hier ben ik het niet mee eens:

Invloed van burgers is helemaal weg met de KPN uitsmijter "gebruiker (hoeft) geen applicatie () te installeren om Mobile Connect te gebruiken".

Wordt het er dan beter op als je weer de zoveelste app moet installeren? Ik installeer nooit apps en zou hiervoor ook niks installeren. Ik heb ook geen digid app en die komt er ook niet. Voor zover het bedrijven aangaat, heb ik geen smartphone. Meer controle krijg je er in ieder geval niet van. Zo’n app heb je geen controle over en kan weer allemaal data van je bij gaan houden. Nee dank je. De vereiste voor een app lijkt helaas geen obstakel voor succes meer te zijn tegenwoordig (het grote schapenvolk installeert m toch wel), maar er zullen denk ik meer mensen zijn die het systeem in hun huidige vorm zullen willen gebruiken, dan wanneer er nog eens een verplichte installatie bij was gekomen.

[CH4OS]

Ik ben hier ook op tegen. Al is het alleen maar omdat ik niet mijn hele leven aan een mobieltje wil koppelen. Ik wil bedrijven die het niet nodig hebben sowieso geen telefoonnummer geven en dat al helemaal niet gebruiken om mijn identiteit te bevestigen.

Bedrijven of andere derde partijen, moeten Mobile Connect ook implementeren voordat men het kan gebruiken. Ik ben benieuwd hoe groot hiervan de adoptie gaat worden.

[kodak]

Klinkt alsof ze klantgegevens inzetten om er als telecombedrijven vooral zelf aan te verdienen.
Het zou de bedrijven beter staan als klanten hier gratis gebruik van kunnen maken om gewaarschuwd te worden voor bijvoorbeeld sim swapping.

[Houtenklaas]

Ik heb het artikel meermalen gelezen en snap je reactie niet. Niets over kosten of verdienmodel, wel de opmerking dat er extra zekerheid wordt gecreëerd voor webshops, banken en dergelijke. Mijn verwachting is dat die dan ook betalen voor de extra zekerheid, niet de gebruiker. Ah, wat beter gelezen over sim swapping. Dat is iets wat niet fysiek gebeurt, maar remote ...

[kodak]

Deze diensten werken alleen als ze gegevens over hun klanten kunnen gebruiken. Die klanten betalen dus niet alleen met geld, gedrag en persoonsgegevens om te kunnen bellen, sms-en of voor datadiensten, maar hebben ook weinig tot geen keuze dat de telecombedrijven dat geld, gedrag en persoonsgegevens ook nog eens inzetten om daarmee diensten aan commerciele bedrijven aan te bieden.

Het doel klinkt natuurlijk vriendelijk: zodat die bedrijven veiliger kunnen handelen. Maar op dat gebruik mag op zijn minst wel tegenover staan dat de miljoenen klanten een duidelijke of betere beloning ontvangen, bijvoorbeeld door te delen in de voordelen die de telecombedrijven menen te zien. Op dit moment lijken de telecombedrijven het normaal te vinden dat omdat ze iets door hun klanten en met gegevens van en over hun klanten kunnen dat maar moet kunnen.

[Houtenklaas]

En daar is nu net wetgeving voor bedoeld. Kenmerk van commerciële bedrijven is geld verdienen en dat is ook prima. Privacy wetgeving moet ervoor zorgen dat jouw en mijn privacy volgens bepaalde regels worden behandeld. Als het zodanig wordt ingeregeld dat een webwinkel een vraag kan stellen die simpel met "ja" of "nee" beantwoord kan worden, dan zeur ik deze keer ook niet. (De gebruiker met telefoonnummer 0612345678 heeft die al langer dan 6 maanden dezelfde SIM?) mag wat mij betreft prima met "ja" of "nee" beantwoord worden. En veel vragen zullen niet eens kunnen. Mijn mailadres verschilt per webshop, ook laat ik wel dingen bezorgen op mijn werkadres, of stuur cadeautjes rechtstreeks van webshop naar de jarige.

Wat ik veel belangrijker vind zijn tresholds. Als een partij "trial and error" doet met mijn gegevens, dan vind ik dat al beduidend minder fijn. 3 vragen in 15 minuten zijn dan wel weer zat. En hier zie ik de concurrentie ook weer zijn werk kunnen doen. Als de Telco's hier een deel van de winst teruggeven aan de klant waarbij T-Mobile dat wel (deels) doet en KPN dat niet doet, dan zullen klanten dat vast meewegen welke provider ze kiezen.

Maar kort en goed, privacy wetgeving zou hier het toverwoord moeten zijn. En bevalt dat niet, dan een kwestie van 40.000 handtekeningen verzamelen voor kamervragen ...

[niki_lauda]

Uit de bron

De Nederlandse telecomaanbieders KPN, Vodafone en T-Mobile introduceren Mobile Connect. Met de Mobile Connect diensten van de Nederlandse telecomaanbieders kunnen dienstverleners, zoals banken, webwinkels en sociale media, eenvoudig de identiteit van hun gebruikers verifiëren.

Ik begrijp dat van die webwinkels niet. Een webwinkel hoeft mijn identiteit niet te weten. Ik moet betalen, een een verzendadres opgeven en een emailadres. De rest is teveel. Dataminimalisatie heet zoiets.
De rest kan ik iets bij indenken maar wie betaald het. Waarschijnlijk zoeken ze werk voor de SMS functionaliteit.

[Reactie gewijzigd door niki_lauda op 23 juli 2024 04:40]

[Zer0]

En hoe wil je bijvoorbeeld garantie regelen als de winkel niet mag weten wie je bent? Je gaat bij aankoop een overeenkomst aan, hoe geldig is die als jouw gegevens fictief zijn?

[niki_lauda]

Geen probleem ik krijg een bevestiging en heb een betaalbewijs.
Wat doe je als je naar een fysieke winkel gaat?

[Aardwolf]

Garantie heb je op het gekochte product, hopelijk minder/niet wie het kocht of wie de zoveelste eigenaar is. Zolang je een factuur/aankoopbewijs hebt kan je aanspraak maken op garantie. De winkel/fabriek kan een eigen garantie bedenken die niet overdraagbaar is, maar de wettelijke garantie geldt altijd en is overdraagbaar. Ik interpreteer dat als dat de naam van de bezitter niet veel uit maakt, of niet hoort uit te maken. (bron)

[ShadLink]

Veel inzetten op centralisatie dus, lijkt me niet een handig systeem. Zo weet je provider echt alles van je. (Geeft in het beste geval problemen bij een hack van de provider)
Een decentraal systeem lijkt mij juist veel beter, helemaal als je daarbij zelf je data in de hand hebt.

[Houtenklaas]

Een decentraal systeem lijkt mij juist veel beter, helemaal als je daarbij zelf je data in de hand hebt.

Dan ga je precies voorbij aan de intentie van dit systeem. Decentraal waar de gebruiker zijn data beheert geeft de crimineel alsnog de tools in handen om zijn activiteiten voort te zetten. En dat wil dit systeem nu juist voorkomen. De provider weet straks niets meer van je dan nu, het gaat om het vergelijken met kennis die men al heeft.

[B0MBACI]

Ik lees veel negatieve reacties, over het gedwongen zijn? Dat lees ik niet terug in het bericht, volgens mij kan je dit straks inzetten om je id te bevestigen, je hoeft dit natuurlijk niet te doen als je dit niet wilt.

[Dazenet]

Als de verkopende partij vind dat jij dat moet doen dan doe jij dat, anders kan je iets niet kopen of geleverd krijgen. En als er één schaap over de dam is, dan volgen alle sheeple heel getrouw.

Zo klik je bijvoorbeeld ook op "akkoord" met voorwaarden waarvan je weet dat ze ronduit belachelijk zijn.

Vrije keuze is een illusie.

[B0MBACI]

Exact maar dan koop je het toch niet daar? Het blijft een keuze en als je echt problemen hebt met dit systeem ga je verder. Daar wanneer het mij boeit rondom de av van een product/dienst dan lees ik het wel degelijk.

[Reactie gewijzigd door B0MBACI op 23 juli 2024 04:40]

[b12e]

Ik meen me te herinneren dat Mobile Connect met veel fanfare werd aangekondigd op Mobile World Congress een jaar of 6 geleden.

Ik heb het sindsdien een paar keer gebruikt bij mijn Spaanse telco om in te loggen in diens online klantomgeving, en dat werkte meestal prima, al was het daar geen vorm van 2FA maar eerder 'als je bij ons klant bent, vul je gsm nummer in en we sturen je een bevestingsprompt om in te loggen'. Die prompt kwam soms wel pas minuten later, dus inloggen met een wachtwoord was vaak sneller en makkelijker.

Sindsdien in geen enkel EU land nog gezien, dus best verrassend dat telco's het nu alsnog in Nederland gaan ondersteunen.

[mouthman73]

Ik heb iets niet besteld bij KPN waar 2FA via SMS gebruikt wordt bij hun bestelpagina.... geklaagd en geld teruggekregen. Maar alle tech-sites die ik ken raden SMS als 2FA af…daar was hun 'red-team' het niet mee eens, SMS was de veiligste 2FA-methode... Nou niet dus.

[Reactie gewijzigd door mouthman73 op 23 juli 2024 04:40]

[Jeoh]

Jammer, ik dacht dat dit iets zou zijn als STIR/SHAKEN tegen telefoonnummerspoofing, dat zou echt van toegevoegde waarde zijn tegen de meer dan dagelijkse spam.

[mutley69]

Telco's, banken en andere private bedrijven mogen mijn identiteit NIET controlleren, beheren of verifiëren - buiten de gewenste zaken die onder de vertrouwelijkheden van onze overeenkomst vallen. Dat wil zeggen geen verificaties voor en door derden!

[Sp3ci3s8472]

Volgens mij moeten banken dat tegenwoordig wel; zit al 20 jaar bij ING, gaan ze nu ineens zeuren dat ze me niet "kennen". Dat is pecht voor ze, nu "kent" een andere bank mij; hadden ze hun gegevens maar op orde moeten hebben.