Kamer van Koophandel test digitale handtekeningen

De Vereniging Kamers van Koophandel in Woerden start een proefproject voor de toepassing van digitale handtekeningen, meldt Infoworld. Door een elektronische handtekening toe te voegen aan een uittreksel, aangevraagd uit het online register, weten bedrijven zeker dat het afkomstig is van de KvK en de inhoud van het document ongewijzigd is ontvangen. De technologie die gebruik wordt is van VeriSign afkomstig. KPN Corporate Networks treedt in dit proefproject op als Trusted Third Party (TTP):

KPN verwacht het volgend jaar nog druk te krijgen met soortgelijke proefsessies. Dan gaan namelijk een groot aantal ministeries - en naar verwachting ook financiële instellingen - de toepassingsmogelijkheden van een elektronische handtekening onderzoeken.

In het voorjaar van 2002 wordt de Wet Elektronische Handtekening verwacht. Deze wet omschrijft het gelijkstellen van een digitale aan een handgeschreven ondertekening. Men verwacht dat digitale handtekeningen binnen een paar jaar grootschalig toegepast zullen gaan worden.

Reacties (39)

[lester]

goede zaak uiteraard, internet gaat steeds meer lijken op de "echte" wereld qua wetten e.d.

* 786562 Lester

edit:
stomme typo

[Randal Peelen]

Het probleem met Internet ten opzichte van de werkelijke wereld is dat als je aan fraude begint je veel makkelijker annoniem kan zijn, de enige via wie je (mits je het "slim" aanpakt) gesnapt kan worden is in princiepe je provider (ISP), in de werkelijke wereld zijn er bij bijna elke beweging die je maakt in het openbaar wel getuigen en op Internet is het bijna onmogelijk om iemand bij werkelijk elke stap te volgen. En de wetten die steeds meer gelden zijn nog altijd moeilijk toe te passen gezien degenen die echt veel verstand van TCP/IP hebben werkelijk als een vis in het water zijn, je kunt alles doen maar er zijn altijd zwakke plekken en op Internet is het een kwestie van seconden voordat meerderen het weten.

Hoe volwassen Internet ook mag zijn, het zal volwassenER moeten zijn dan the real world en dat zie ik niet snel gebeuren.

[TheGhostInc]

Ook in de echte wereld kun je je geod verkleden, zodat niemand je herkent.
Het probleem met internet is dat er weinig te halen valt.
Je moet altijd een link maken met een adres of persoon om gebruik te maken van illegale zaken.

* 786562 TheGhostInc

[KeeZ]

tja... toch blijf ik persoonlijk het invoeren van dit soort wetten van de hand houden, ook al zal het de voortgang van 'de nieuwe technologie' tegenwerken. de handgeschreven handtekening al altijd veiliger blijven dan het internetvoorbeeld.

kijk maar naar de rabobank online bankieren, deze is al eens gekraakt...

[SirBlade]

Nooit vroeger de hantekening van 1 van je ouders vervalst toen je rapport een keer erg tegenviel.

Iedereen kan na wat oefenen een redelijke imitatie van een ander z'n handtekening maken. Een digitale handtekening vervalsen is echter maar weggelegd voor een zeer klein groepje.

[Fatamorgana]

Daar heb je helemaal gelijk in, maar helaas is het vaak wel zo dat dit zeer kleine groepje nu net de personen zijn die er gigantisch mee kunnen / willen frauderen.

Maar als het een systeem is dat gewoon technisch onkraakbaar is binnen een bepaalde tijd, dan is het velig genoeg.

Stel dat de code dus maar een half uur geldig is, maar het kost minimaal 24 uur om het te hacken, dan is het toch een veilig systeem.

[Stemband]

In principe heb je gelijk, zo wordt er idd naar gekeken, maar een helemaal veilig systeem is het niet. Er blijft altijd de kans bestaan, hoe klein ook, dat ze de sleutel binnen dat half uur vinden! Het D.Net RC5 project had binnen 5 minuten afgelopen KUNNEN zijn.

[Marcel van Veen]

Sjonge jonge, ooit gehoord van de 'bel' die luidt en het niet vinden van de 'klepel'?

Rabobank is 'gekraakt' doordat menoffline een webpagina spoofde (door met lmhosts bankieren.rabobank.nl aan te passen).

Daarnaast is de verkregen code alleen bruikbaar om (binnen een half uur!) de rekening informatie te bezichtigen.
Over te versturen betalingsopdrachten wordt een soort checksum berekend die dan met je Digipass versleuteld dient te worden. Ook deze is maar een half uur geldig. Bij betalingen boven de 10.000 dien je zelfs meerdere keren te versleutelen. Een opdracht afvangen, aanpassen (rekeningnummer ofzo) en dan verder sturen gaat niet op, omdat dan de digipasscode dus niet meer klopt.

Disclaimer: * 786562 Marcel

[Marcel Loesberg]

Als je in lmhosts een eentry maakt voor bankieren.rabobank.nl werkt dat ook nog eens alleen maar op die computer. Dus op jouw machine thuis kan weinig gebeuren. Ik heb overigens begrepen dat de site van rabobank zelf kortstondig gekraakt is geweest en dat daardoor je niet op bankieren.rabobank.nl uitkwam maar bij een andere site (die van de hackers). Nu dat lek dicht is kunnen de hackers alleen nog maar proberen de DNS van rabobank.nl te hacken of alle (lm)hosts files gaan aanpassen
Rabobank internet bankieren is dus zeer veilig en ook digitale handtekeningen (back on topic) zijn veilig. Zelf maak ik voor het beheer van een groot aantal servers gebruik van keys om bepaalde processen zich te laten authenticeren (key is zeg maar de handtekening van het programma) en er zijn nog geen problemen geweest. (even afkloppen )

[CmdrKeen]

Er was toch ook een digitaal keurmerk van de Consumentenbond? Dat is opgeheven (dacht ik) omdat het te makkelijk te "kraken" was: kopiëren en klaar.

Zo'n handtekening kan je toch ook gewoon kopiëren? Waarom gebruiken ze geen PGP? Of vinden ze twee keer het wiel uit?

[Stemband]

PGP is niet trusted! Er is een database-je met alle public keys die geraadpleegd kan worden, maar niemand die er controle uitvoert of de aangeboden publieke sleutels ook daadwerkelijk horen bij degene die zegt degene te zijn die hij/zij is. Noch of de database is aangepast. Zo moeilijk is het niet om daar een vals certificaat in te zetten (incl. checksum).
Verder kan ik voor mijn buurman in zijn naam een sleutelpaar aanmaken en volgens middels PGP een mailtje sturen in zijn naam. De beste man heeft niet eens een computer, niemand die dat checkt.
Bij een digitale handtekening is er sprake van een certificaat, uitgegeven door een CA (Certification Authority). Die CA verkrijgt zijn trust door volgens een bepaalde wijze te handelen en die openbaar te maken. Zo is er een controlerende instantie een RA (Registration Authority) die de gegevens controleert die worden aangeboden. Is degene die zegt dattie Pietje is ook echt Pietje en niet Karel die doet of ie Pietje is.
Verder zorgt ie voor een zeer secure bewaking van de databse waarin de certificaten (en dus public keys) worden bewaakt, zowel fysiek als digitaal.
Zo bestaat de fysieke bewaking van Verisign uit 13 lagen!!

edit:
kleine toevoeging

[M.I.G.]

Misschien de toekomst voor het stemmen via internet met zo'n handtekening?

[Stemband]

Op zich wel, maar dit heeft weer een ander nadeel:
bij het stemmen via de PC thuis kan namelijk niet worden gecontroleerd of het uitbrengen van de stem in alle vrijheid gebeurt. Wettelijk gezien is dit een vereiste!

Bij het thuis stemmen zou iemand gedwongen kunnen worden op een bepaalde partij te stemmen. Verder zouden anderen ongevraagd namens een persoon kunnen stemmen, terwijl je nu die machtiging situatie hebt, waarbij er tenminste nog enige controle is.

[Verwijderd]

dit is dus een beetje kwatch. nix op Inet is veilig. De handrtekening is virtueel, dus binear (uiteindelijk), het is dus een kwestie van 1en en 0en te veranderen om zo de boel aan te passen. Maar ik geloof wel dat het over enkele jaren grootschalig zal worden gebruikt.

[Verwijderd]

Tuurlijk, is het een kwestie van 1en en 0en te veranderen .

Als dat zo zou zijn dan zou Verisign allang niet meer bestaan, gemiddeld kost het 10¹19e jaar (ik kan er iets naast zitten), met de huidige techniek, om een 1024bits certificaat te kraken.

[Verwijderd]

Het is slecht een wijze van spreken.

Ik bedoel, niemand is zo gek om het LETTERLIJK met binear te doen. Daarvoor hebben we wel wat betere programma's ontworpen die wel dit een stuk sneller kunnen doen. Je weet wel: hogere programmeertalen. Hiermee kan de mail worden onderschept en vervolgens volledig worden gekraakt.

[later toegevoed]
jah, oké dan, niet met de hogere programmeertalen zelf, maar de programma's waarmee ze zijn gemaakt. Maar dat hadden de meeste wel begrepen, toch?!

[Verwijderd]

Ik werk in de PKI en weet dus hoe het werkt, maar het kan echt niet. Het kost veels teveel tijd en tegen de tijd dat een certificaat gekraakt is, is de volgende generatie certificaten al op de markt, lees 2048bits.

Het persoon die een huidig certificaat in een mum van tijd kan kraken is in een klap het meest gewilde persoon van de wereld. Ten eerste omdat hij het gekraakt heeft en dus wil iedereen het hebben, lees FBI/CIA etc, ten tweede omdat Verisign en gelijken hem willen hebben om hun systeem te verbeteren. Wil je het dan wel kraken?

[Verwijderd]

slecht -->slechts
met binear --> binear
die wel dit --> die dit wel
toegevoed --> toegevoegd

Kortom: lees even je stukje door voordat je iets post.

[bum]

yourself, Rintje

Binear --> Binair

[Verwijderd]

oké

[GijsbertatNL]

Zodra er een bitje wordt gewijzigd in het uittreksel zelf, onstaat er een ongeldige handtekening. Als het digitale certificaat (waarmee de handtekening wordt gezet) 1 bit veranderd, is dit certificaat ook niet meer bruikbaar en ongeldig.
Controle op geldigheid is standaard aanwezig in client software of kan daarin 'gebakken' worden.

Een digitale handtekening is eigenlijk maar op een manier te vervalsen (zelfde als live handtekening). Door een exacte kopie te maken. In tegenstelling tot een 'live' handtekening is een digitaal certificaat echter in twee delen gesplitst (prive en publieke sleutel). De prive sleutel behoort goed te worden beschermd en is alleen aanwezig bij de eigenaar. Zonder deze prive sleutel is het niet mogelijk een digitale handtekening te zetten. Het is dus niet mogelijk van een bestaande handtekening onder bijvoorbeeld een document een kopie te maken, en deze kopie te gebruiken om zelf een handtekening te zetten. (i.t.t. een 'live' handtekening).

[Verwijderd]

Als ik dit zo lees moet er iets in de mail zelf (of op een controleserver) zijn waarmee de mail kan worden vergeleken. Als (let wel, als) dit zo is dan kan dat stukje controle worden aangevallen en veranderd. vervolgens wordt de mail tegengehouden (of wat er dan ook gebeurd) of kan de mail zo worden veranderd dat hij identiek is aan de veranderde data in het stukkie controle. Effe nadenken he, als iets versleuteld is moet die versleuteling ook worden gekraakt.

[/later togevoegd]
Ah! Nu is het me duidelijk, bedankt UnConeD.

[Verwijderd]

De meeste algoritmes gebruiken asymmetrische cryptografie... in het normale geval is de decrypting key privé en de encrypting key public: iedereen kan jou een boodschap sturen, maar alleen jij kan ze decrypten. Niemand anders, zelfs niet als hij de sleutel heeft waarmee de oorspronkelijke boodschap ge-encrypt was.

Bij digitale handtekeningen is het net andersom... alleen jij hebt de sleutel om te encrypten (tekenen). Anderen kunnen met je openbare sleutel de handtekening wel verifiëren (decrypten), maar niet veranderen/herschrijven.

Het stukje code om mee te vergelijken zit net in de gecodeerde handtekening. Door de asymmetrische cryptografie is het praktisch onmogelijk om de boodschap zo te veranderen dat ofwel de zelfde handtekening geldig is, of dat je zelf de handtekening kan aanpassen en ze terug geldig maakt.

Al bij al zijn zo'n systemen de veiligste die er zijn...met als uitzondering het feit dat de privé-sleutel natuurlijk wel privé moet blijven.
Dit kan een probleem zijn in een bedrijf waar uitgaande documenten met 1 sleutel getekend moeten worden: ofwel moet er een systeem zijn waarbij de sleutel telkens van een beveiligde server wordt gehaald en niet opgeslagen wordt op de workstation (veel werk), ofwel staat de sleutel op elke pc zodat de secretaresse met 1 klik kan tekenen.

[Stemband]

...is een digitaal certificaat echter in twee delen gesplitst...

Dit is niet waar. Een digitaal certificaat is gewoon 1 geheel en wordt gemaakt o.b.v. de publieke sleutel!
Je kunt nu deze sleutel gebruiken om het berichtje (bvb) te versleutelen en je bent er zeker van dat alleen degene van wie het certificaat is, degene is die het berichtje kan ontcijferen en dus kan lezen.
M.b.v. een digitale handtekening bereken je over (een deel van de) data een checksum, waardoor je de integriteit van deze data waarborgt. Voor die checksum (en dus handtekening) gebruik je je privésleutel. Nu kan iemand anders dus bepalen dat jij de afzender bent m.b.v. je certificaat.

[PowerFlower]

Kan iemand mij uitleggen wat het nut hiervan is bij uittreksels van de KvK?! Die zijn A) sowieso al makkelijk te verifiëren en haal je ze op van hun website. Hoe groot is het risico dat iemand daartussenin de packets gaat zitten veranderen zodat ze gemuteerd bij mij aankomen?!
Los daarvan: als ik al een KvK uittreksel wil vervalsen, dan ga ik wel met een kopieerapparaat aan de slag en zeker niet met 1024bits sleutels

Maar goed, laten we het erop houden dat de KvK eens wat met Digitale Handtekeningen en certificates wil gaan oefenen

[Cookie]

In bepaalde gevallen heb je een uittreksel nodig van je eigen bedrijf en dat moet dan wel een officieel document zijn denk ik, en niet iets wat je zelf ook gemaakt zou kunnen hebben.

[PowerFlower]

Ja maar dat bedoel ik: als jij een document wil vervalsen, wat doe je dan liever, een digitale handtekening van 1024 bits (of zelfs maar 64) vervalsen, of een kopietje met typex en een stempel met een aardappel maken?

[ThaDude]

Scheelt mij weer elk jaar een ritje naar de KVK toe

Maar vind dit wel een strakke actie, sommige bedrijven vind ik echt nog te traag in dit soort dingen. Ik zit veel op internet, hierdoor wil ik ook graag veel doen via internet. Dit laaste is helaas nog niet echt mogelijk. Dit doordat dit voor veel bedrijven veel kost, en door de afwachtende houding van velen

Denk wel dat het toekomst heeft! want elk jaar is een bedrijf verplicht zo'n uittreksel te halen. Als dit via internet kan, scheelt dit een hoop

[Verwijderd]

zo'n digitale handtekening is niet te breken door iedereen, het is gebaseerd op cryptografische principes zoals het RSA algoritme. Als jij dat kan breken begint er een goede carriere voor jou bij bijvoorbeeld de NSA, die m.b.v brute kracht dit meestal moeten oplossen (alhoewel zij dat wel slim doen). Het is onmogelijk de handteking te bevestigen als jij gewoon een paar nullen en enen verwisseld, de kans is zo klein dat dit goed gaat dat deze verwaasloos baar is ( 1 op 2^128 bv.) Deze digitale handtekeningen worden overal gebruikt en zijn zeer veilig. Dit soort cryptografische dingen zijn en zullen steeds meer belangrijk worden.

[THiCE]

ach t zal vast wel goed beveiligd zijn als je bedenkt dat dat RC5-64 project al 3 jaar bezig is om een 64 bits code te kraken....laat staan een 1024 bit
Maar ik denk toch wel dat het een goede zaak is, vooral op het gebied van internetbankieren (al eerder genoemd), online aankopen, en zeer vertrouwelijke e-mails.

offtopic:
dit bericht stond 15 uur geleden al op nu.nl