Inloggen op Mijn Overheid kan voortaan alleen nog met multifactorauthenticatie

Inloggen op de Mijn Overheid-portal kan voortaan alleen nog maar met DigiD of als multifactorauthenticatie is ingeschakeld. Vanaf deze week is inloggen zonder extra sms-beveiliging niet meer mogelijk. Dat proces wordt bij steeds meer overheidsinstellingen de norm.

Wie voortaan wil inloggen op mijnoverheid.nl, moet verplicht multifactorauthenticatie gebruiken. Voorheen was het mogelijk om met DigiD in te loggen zonder daar een extra sms bij te krijgen, maar dat kan niet meer. Gebruikers moeten nu de DigiD-app gebruiken, waarbij multifactorauthenticatie al automatisch als enige optie aanwezig is, of met DigiD in combinatie met een sms-verificatiecode.

DigiD kent verschillende vormen van authenticatie. De meest basale is om alleen in te loggen met een gebruikersnaam en wachtwoord. Ook is er een tussenvorm waarbij met multifactorauthenticatie of mfa kan worden ingelogd waar gebruikers dat willen, maar waarbij overheden dat niet afdwingen. De laatste jaren zijn steeds meer overheidsinstanties overgestapt op een derde vorm van beveiliging, waarbij gebruikers alleen nog kunnen inloggen als ze 2fa aan hebben staan. De DigiD-app volstaat daarbij ook, omdat de telefoon waar die op staat de tweede inlogfactor is.

Onder andere bij de Belastingdienst is het sinds een paar maanden niet meer mogelijk zonder mfa in te loggen. Volgens DigiD-beheerder Logius gebruikten in november 215.000 Nederlanders hun DigiD nog zonder mfa. Logius stuurt die mensen een brief om hen aan te sporen wel mfa te gebruiken, omdat ze anders in de toekomst nog maar weinig kunnen regelen bij de overheid. Mijn Overheid is, samen met de Belastingdienst, een van de grootste overheidsdiensten waarbij met DigiD moet worden ingelogd.

Reacties (283)

Maar log je dan wel in met gebruikersnaam en wachtwoord + de app als tweede factor, of vervangt de app je gebruikersnaam en wachtwoord?

Want in het tweede geval is het helemaal geen 2fa/mfa, maar gewoon 'passwordless' inloggen

Edit: Inmiddels duidelijk; je hebt geen gebruikersnaam + wachtwoord nodig om in te loggen, maar wel om de app te registreren. Een geactiveerde app heeft dan ook nog een pincode.
De pincode vervangt dus je gebruikersnaam en wachtwoord, en de geregistreerde app je ID/paspoort, dus het blijft altijd wel multifactor en is niet zomaar te omzeilen.

[Reactie gewijzigd door Oon op 31 januari 2023 10:52]

Ik vind het erg jammer dat er geen Nederlandse overheden lijken te weten dat 2FA meer is dan een app of een sms. U2F is nu al 9 jaar een standaard, ik gebruik die keys voor vanalles en nogwat, waarom kan ik die niet registreren voor DigiD? TOTP is een andere die ook veel uptake kent elders.

Alles aan 1 device hangen vind ik niet veilig (met 1 device en typisch een 4-6 cijferige passcode kun je in theorie bij heel wat diensten), en niet handig (verlies, diefstal, schade).

Dat weten ze echt wel bij de overheid maar het moet wel een oplossing zijn die voor vrijwel alle burgers te gebruiken en te begrijpen is.

Een sleutel is veel eenvoudiger dan een app te begrijpen. Het is een ding, dat 1 functie heeft. Vandaar dat in sommige landen je ook gewoon een smartcard van de overheid krijgt. Oude en betrouwbare tech, die niet onnodig een smartphone verplicht.

Zolang je een sms code kan gebruiken heb je geen smartphone nodig. Als die optie wegvalt zit ik met een probleem want ik wil geen smartphone.

Ik ken wel meer mensen die geen smartphone hebben, maar ook geen mobiel. Ik vind de SMS-code juist enorm handig en relatief veilig (de kans dat je je telefoon kwijtraakt en tevens de gegevens van je DigID én dat er dan ook nog misbruik van wordt gemaakt is vrij klein, tenzij iemand het specifiek op je gemunt heeft).

Het koppelen van meerdere (financiële) diensten aan één apparaat zoals @denneappel schrijft vind ik persoonlijk weer minder veilig: Komt iemand in het ene, dan ook in de rest. Ik zie dat ook met smartphones die werkelijk alle diensten in één apparaat hebben. Raak je die kwijt, inc de inlog, dan ben je wel de sjaak.

Toegegeven: Meerdere diensten via je smartphone is enorm handig. Ik kon van de zomer zelfs geen treinkaartje kopen in Lelystad, waar ik met pech gestrand was zonder pinpas. Ze hebben daar geen loket, alleen een muntgeldkaartjesautomaat en geen enkele medewerker die er nog rondloopt... Maar ja, ik heb geen mobiel internet, en toen ik dat zei tegen de NS-intercom hulpzuil dachten ze dat ik een grapje maakte.

Ik vind de SMS-code juist enorm handig en relatief veilig (de kans dat je je telefoon kwijtraakt en tevens de gegevens van je DigID én dat er dan ook nog misbruik van wordt gemaakt is vrij klein, tenzij iemand het specifiek op je gemunt heeft).

Enkel ter info,
Het onderscheppen van SMS is zeer eenvoudig en SMS is volledig clear-text (dus null encryptie). Het is letterlijk de laagste vorm van MFA (gelijk aan e-mail).

Elke barrière is er natuurlijk één maar als je het kunt vermijden dan moet je dat absoluut doen.
Kies dan bijvoorbeeld voor TOTP. Iedere MFA app kan dat aan en het werkt volledig offline (in tegenstelling tot SMS).

Zeker, maar over de (on)veiligheid daarvan is al genoeg geschreven.

Yes, ik ken het probleem. Alleen het gebruik maken van overheidsdiensten zonder Apple of Android (Google) account kan wat mij betreft nooit de bedoeling zijn.

https://www.fonegeek.com/...pps-without-apple-id.html
Lijkt wel te kunnen zonder Apple ID. Als ik een en ander goed begrijp, moet DigiD als gratis app op een Apple smartphone dan kunnen werken zonder Apple ID. Disclaimer: nooit zelf geprobeerd.

Binnen de Android space heb je alternatieve stores, Google vrije builds, zoals ook bij FairPhone:
https://support.fairphone...-Google-services-Open-OS-

De vraag is dan alleen of je ook bijvoorbeeld de Digid App aan het werk kan krijgen op die builds met de nieuwste versie Digid app, als ze ergens gaan dependen op Google services wordt het opeens lastiger, geen idee hoe ze daarin staan. Op het forum zie je wel dat het zeker gewerkt heeft op toestellen zonder Google, kom ook zo snel niets tegen dat het niet meer zou werken. Disclaimer: nooit zelf geprobeerd.
https://gathering.tweaker...message/64638924#64638924

Ik heb toevallig vorige week contact gezocht met DigiD omdat de op hun website claimen dat de voor het gebruik van hun app IOS of Android nodig hebt. Dit is niet correct omdat de Android app gebruik maakt van het Google Services Framework. Kortom, de programmeurs waren lui en hebben gebruik gemaakt van Google code om de app snel werkend te krijgen op Android. Verder is de app alleen officiëel te downloaden via de Google Play Store. Ook heb ik gevraagd waarom de app niet via een website controleerbaar met een has code te downloaden was.
Het antwoord van DigiD was dat de app via Google moet worden gedownload omdat je dan zekerheid hebt over de herkomst van de app. Andere Stores bieden onvoldoende zekerheid. Ze konden nog melden dat het gebruik van DigiD niet verplicht is. Verder werd er niet ingegaan om mijn andere vragen. Daarom heb ik de mail beantwoord en gevraagd om een volledig antwoord eventueel door een meerdere en daarop kreeg ik een handleiding voor het activeren van de app teruggestuurd.
DigiD wil dus niet verklaren dat ze actief promotie maken voor de Google diensten en al hun gebruikers persoonsgegevens laten delen met Google in ruil voor het gebruik van hun app.
Ik overweeg om de zaak naar de Autoriteit Persoonsgegevens te sturen omdat ik bij DigiD blijkbaar niet verder kom en er een duidelijke onwil is om open te zijn over hun app.

misschien biedt de GitHub van dit project nog een ingang, om in contact te komen met personen binnen Logius/DIGID die zich wat meer kunnen inleven in jouw vragen:
nieuws: Ministerie maakt broncode van DigiD-app open source

Ministerie maakt broncode van DigiD-app open source

De broncode van de DigiD-app is nu als open source beschikbaar op GitHub. Het ministerie zegt hiermee de werking van de app transparant te willen maken. Alleen bepaalde gevoelige informatie, zoals informatie over de infrastructuur, blijft geheim.

EDIT: op de GitHub is geen forum, maar ze noemen wel een emailadres:

Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) heeft een deelbesluit genomen op een Woo-verzoek over de broncode van de DigiD app voor mobiele devices
De broncode is naar aanleiding van dit besluit op deze Github openbaar gemaakt,
Voor overige vragen over dit Woo-besluit kunt u mailen met [e-mail].

[Reactie gewijzigd door davides op 1 februari 2023 11:27]

Bedankt, het artikel waarnaar je linkt was de reden dat ik op de website van DigiD keek naar de voorwaarden die ze stellen voor het gebruik van de app. Zo kwam ik erachter dat dat dus niet klopt met de werkelijkheid en besloot ik ze te benaderen met bovenstaand bedroevend resultaat.
Het lijkt mij dat onze overheid open zou moeten zijn over de consequenties van het gebruik van de app en niet de negatieve bijeffecten in de doofpot zou moeten stoppen.
Ik denk echter dat het de mensen bij Logius niets interesseert dat gebruikers van de app betalen met persoonsgegevens. Dat is immers de voorwaarde waaronder ze het aan onze overheid hebben verkocht.

@OruBLMsFrl De DigiD app staat alleen in de Playstore, dus behalve de apk rippen is er geen manier om de app op een ontgooglede telefoon te draaien.
@dimdek Ben benieuwd wat er van je zaak komt! DigiD is defacto een noodzakelijkheid.

[Reactie gewijzigd door Brent op 1 februari 2023 11:42]

Nou ben ik toch nieuwsgierig waarom u geen smartphone wilt?

Omdat ik liever geen account heb bij Apple of Google om een telefoon te gebruiken. Waarom een apparaat nemen dat de hele tijd mijn aandacht wil trekken. Ik heb wel wat beters te doen met mijn leven dan naar een telefoon staren.

Aha ik snap de rede zit wat in,thanks voor het antwoord👍

Dus staren naar jouw Windows PC? Is wel goed?

Mijn linux pc heeft geen Apple, Microsoft of Google account nodig nee.

Maar je staart wel naar een scherm.

Omdat ik liever geen account heb bij Apple of Google om een telefoon te gebruiken.
Je hebt geen Apple account nodig om een Apple apparaat te gebruiken, volgens mij?

Hoe het op Android zit weet ik niet....
Het enige wat echt een online account vereist is Windows, volgens mij..

Probeer anders eens een app te installeren op je iPhone of Android. Die vereisen beiden een account.

Ja, maar dat is toch logisch toch? Dan voeg je iets nieuws toe...
Maar je kan een iphone prima gebruiken zonder. Alle functionaliteit werkt... Camera, telefoon, kaarten, etc..

Als je online diensten gaat gebruiken, dan is een account nodig. Dat is niet leuk maar wel te begrijpen... Wat moet je anders doen, alles maar open stellen?

Het hebben van geen smartphone is het beste wat de extreem privacy bewuste persoon kan doen. Het maakt mij persoonlijk weinig uit, maar ik heb respect voor diegene die het zonder kunnen. Ik vrees jammer genoeg voor je dat je er op een gegeven moment door dergelijke veranderingen wel aan zal moeten.

Ik heb überhaupt geen telefoon. Als ik iets moet hebben schrijf ik wel een brief. Als ik b.v. mijn belastingaangifte moet doen ga ik wel naar een loket met een stapeltje papieren.

Niet alleen is de sleutel een derde partij, maar je zadelt burgers ook op met extra kosten en zo'n sleutel is niet goedkoop. Daarnaast vraagt het ook weer een hele campagne hoe je die sleutel moet gebruiken. Een heleboel mensen regelen hun zaken uitsluitend via de smartphone en dan heb je niets aan een sleutel.
Ben een voorstander van de app, maar bij het scannen van de QR-code wel even je donkere scherm uitzetten. (-;

U2F is een open standaard, geen derde partij. Een smartphone OS is dat zeker wel (en een vierde, vijfde, etc)

Helemaal mee eens dat U2F een open standaard is, maar de hardware is een derde partij en die smartphone heb je al (of geen smartphone zoals iemand eerder schreef dat hij/zij gebruik maakt van sms).
Denk dat het kostenaspect voor de burger ook meetelt in de afweging van de overheid.

Ben het niet eens met de veronderstelling dat je de smartphone al hebt. Dat geld zeker niet voor iedereen, en juist vanuit veiligheid zou je je moeten afvragen of je meewerkt aan het defacto verplichten daarvan, en dan ook nog eens specifieke apparaten (ik kan geen 2 telefoons als 2F voor DigiD gebruiken bijv.). Het aantal derden dat betrokken is bij een key als 2F is hoe dan ook vele malen kleiner dan bij een iOS/Android app. Daarbij is een key niet duurder dan een moderne telefoon, al heeft een grote fractie die al.

Dat niet iedereen een smartphone heeft had ik ook genuanceerd door tussen haakjes te zetten dat je ook van sms gebruik kunt maken. Ik vraag mij ook af waarom je twee telefoons nodig hebt als je er maar één nodig hebt om in te loggen met je DigiD. De key is zelfs vele malen goedkoper dan een smartphone, maar die heeft bijna iedereen al. De volgende vergelijking gaat natuurlijk een beetje mank, maar als bijna iedereen een auto heeft kun je de mensen toch niet verplichten er een fiets naast te nemen. N.B. Ik rij elektrisch.
Denk dat wij het in grote lijnen wel met elkaar eens zijn, maar ik wilde even het financiële aspect en daardoor het praktische bezwaar naar voren brengen.

SMS is onveilig en wordt door elke expert afgeraden. Is dus geen oplossing.

Waarom 2 telefoons? Backup. Ik heb toch ook meerdere sleutels van m'n voordeur?

Niet iedereen heeft een smartphone, of wil er een, of wil hem volladen met 2FA apps.

Een fiets 'verplichten' is precies wat sommige steden al doen: met een auto in Amsterdam wonen is niet te doen, terwijl op de meeste plekken buiten de Randstad het zonder juist niet te doen is.

Iets als DigiD moet niet voor een subgroup een oplossing zijn, en zelfs niet voor een hele grote subgroep, maar voor elke Nederlander. Dat is het verschil met commerciële diensten: de overheid kan niet zeggen dat die ene procent zonder smartphone bijv. het maar uit moet zoeken.

Helemaal mee eens. Ik help genoeg ouderen die niet zitten te wachten op een smartphone en als ze er al een hebben, dan is het hannissen met een sms of app een enorm obstakel dat menigeen hopeloos maakt.

Verder kan ik er dus echt niet bij, dat de Nederlandse overheid eist dat je voor het gebruik van de app een account bij een Amerikaans bedrijf hebt dat vervolgens persoonsgegevens van je telefoon kan halen, analyseren, verkopen en delen met de Amerikaanse overheid.

SMS is wel een oplossing want deze wordt door DigiD gebruikt. Dat het een onveilige oplossing is is een ander verhaal.
Ik heb één sleutel van mijn huisdeur en mijn huisgenoten hebben de andere sleutels. Of heb je je tweede telefoon aan iemand anders in beheer gegeven?
Amsterdam verplicht niemand om een fiets te kopen (of te stelen), want je kunt altijd met het OV of op een andere manier in het centrum komen.
Wat je voorstelt met je key is dat het juist een heel kleine subgroep dat gebruik kan maken van de diensten van de overheid.

Precies dat: je kunt als overheid eigenlijk alles wel verplichten maar als die verplichting een privacy beperkend effect heeft daar zit daar het probleem. Niet bij de verplichting an sich (want dat kunnen ze dus wel degelijk). Privacy is het probleem: want daar gaat 'de' overheid slecht mee om; of ze raken de gegevens kwijt of ze geven deze (onbedoeld) aan derden of ze gebruiken deze oneigenlijk.
Een apparaat met Internettoegang is tegenwoordig belangrijker dan de persoon zelf omdat allelei lokketen alleen nog maar digitaal beschikbaar zijn (zoals van overheden, banken of OV). En dat is wel een kwalijke ontwikkeling.

Vanaf het moment dat we een BSN kregen waren we een nummer, misschien zelfs eerder, maar dat weet de burger niet. Maar door DigiD gaan sommige zaken aanzienlijk makkelijker. Vandaag is het 1 februari en op de eerste van de maand moet ik nog weleens iets met instanties afhandelen. Zit achter m'n laptop en vanmorgen was alles in een poep en een zucht geregeld. Dat privacy een probleem is bij de overheid, breek me de bek niet open, maar daar gaat het in dit item niet om.
Ben het met je eens dat een heleboel loketten uitsluitend digitaal beschikbaar zijn, helemaal juist. Of telefonisch heel moeilijk, want dat willen ze liever niet. De tijd dat er in een winkelstraat drie à vier banken en een postkantoor zaten ligt achter ons en we zullen met de tijd mee moeten. Het enige dat ik kan zeggen is dat je moeite moet doen om bij te blijven, want voor je het weet heb je de boot gemist. Voordat je denkt dat ik een millennial ben, ik heb ooit nog bij de kruidenier, de groenteman en de melkboer op mijn beurt moeten wachten. En het bijblijven kost steeds meer moeite, maar je ontkomt er niet aan.

maar daar gaat het in dit item niet om.

Juist wel toch? Want die multifactor authenticatie gaat niet zonder dat de overheid weer wat extra persoonlijke informatie nodig heeft (je mobiele nummer voor SMS bijv.). En een app is dat opzicht nog wat listiger. Nu zal het wel gecontroleerd zijn maar in feite kan zo'n app natuurlijk veel meer data oversturen. Ik kan begrijpen dat mensen daarom zo'n 'overheidsapp' niet willen.

En dat de digitale loketten zeker handig zijn, ben ik met je eens. Maar als er alleen digitale loketten zijn dan is dat toch lastig in sommige uitzonderlijke gevallen en/of voor sommige mensen. En die digitale loketten zijn toch iets complexer voor sommigen (in vergelijking met 'echte' loketten - bemand door mensen).

Lees deze maar eens, dan weet je precies voor wie het makkelijker gemaakt wordt: https://www.computable.nl...lstra-spreekt-moeite.html

idd. En daarbij komt dat het ook nog eens 'makkelijker' wordt gemaakt om het overzicht [van je financiele positie] te verliezen. En dat geldt niet alleen voor ongeletterden en ouderen. Maar dat is de vooruitgang.

Wat overigens vooral een punt is: banken hebben t.o.v. elkaar nauwelijks onderscheidende factoren meer en gebruiken zelfs gedeelde systemen. Ook geldt dat de winsten van banken niet in verhouding staan met de hoeveelheid moeite en risico ze lopen. Wat we eigenlijk nodig hebben is een enkele bank die volledig van de overheid is - zonder winstoogmerk over de ruggen van de burgers. Dat dan de overheid volledige inzage heeft in ons betalingsverkeer is niet meer relevant - dat hebben ze nu indirect ook al.

In het verleden hadden we een (semi-) overheidsbank. Dat heette de Postgiro en was onderdeel van PTT. Volgens mij was Amsterdam de uitzondering en hadden zij een Gemeentegiro. Uiteindelijk is de Giro gefuseerd met NMB. Samen zijn ze verder gegaan als de ING-bank. PTT is helemaal uit elkaar getrokken. Ik denk dat er wel een Wikipedia-pagina aan gewijd is, wil je er meer over weten.
Tegenwoordig is de overheid grootaandeelhouder van ABN-AMRO en dat is voor de klant geen succes. Een opzet als de Postgiro, als niet commerciële bank, lijkt mij heden ten dage achterhaald. Maar als dat niet zo is, dan sta ik er ook voor open.

Vanaf het moment dat we een BSN kregen waren we een nummer, misschien zelfs eerder, maar dat weet de burger niet.

Daarvoor noemden we het een fiscaal nummer. Het lijkt me trouwens meer dan enorm logisch om personen te koppelen aan een nummer. Hoe maak je anders onderscheid tussen Jan de Vries en de overige 1000 Jannen de Vries?

Wikipedia: Het sofinummer (afkorting van sociaalfiscaal nummer) was van 1989 tot 7 januari 2014 door de Nederlandse rijksbelastingdienst aan een natuurlijk persoon toegekend identificerend nummer. Het nummer diende tevens als registratienummer voor de verzekerde of uitkeringsgerechtigde voor de uitvoering van wettelijke voorschriften inzake de sociale zekerheid. Het sofinummer was de opvolger van het fiscaal nummer uit 1985 dat enkel voor de automatisering van loonbelasting werd ingevoerd. De invoering van het sofinummer, waar veel debat over privacy aan voorafging, werd geregeld in de Wet persoonsregistratie (Stb. 1988, 655).

[Reactie gewijzigd door dezwarteziel op 2 februari 2023 17:12]

Ik zie hier veel verschillende berichten... Een veiligheids sleutel welke u2f of Fido ondersteunt is te koop rond de €25,00. Dit is een eenmalige investering en gaat zeker 10jaar mee. Dus prijs lijkt mij geen probleem. De veiligheid van zo'n sleutel is ook nogeens minimaal 10% hoger dan die van de telefoon.(er zijn veel kwetsbaarheden bekend voor iOS of Android). Hiernaast is deze oplossing phishing resistent, wat in het kort betekend dat je niet bang hoeft ze zijn dat je inlogt op een namaak website. Wat ik nergens lees is waarom logius niet meteen gekozen heeft voor Passkey. Wat mij betreft de beste van 2 werelden. Veilige Fido authenticatie voor iedereen met een Android of iOS device (zonder dat er een extra app nodig is) en de mogelijkheid voor een veiligheidssleutel.

“Goede middag opaatje, ik ben van de gemeente en kom uw overheids smartcard vervangen omdat er verdachte activiteit mee is gedetecteerd…. Geeft u de oude maar mee, dan is alles weer veilig. Ter verificatie en activatie van de nieuwe kaart graag even uw paspoort inscannen bij deze tablet en uw huidige login en wachtwoord invoeren.”

Maar goed, volledig digibeet proof kan je het nooit maken uiteraard.

Zo'n fysieke sleutel is toch niet veiliger dan een app met pincode?
Tenzij je voor iedere dienst een andere Ubikey of vergelijkbaar koopt kun je daarmee ook bij heel wat diensten

Hangt er vanaf of je vertrouwt op de veiligheid van het apparaat. Ik niet, want daarop inbreken is stukken makkelijk dan op een key, maar als je dat wel doet, heeft een key nog steeds voordelen. Namelijk: je kunt er meerdere registreren (met apps heb ik dat nooit gezien, je moet altijd 1 telefoon uitverkoren), dus bestendiger tegen verlies/schade; typisch blijft je wachtwoord een vereiste en wordt niet vervangen met een veel simpelere passcode.

Klopt maar ik vermoed dat de overheid niet afhankelijk wil worden van derde partijen voor hun 2FA inlog. Er hangt natuurlijk nogal wat info aan vast, mocht er eens wat mis gaan en iemand gebruikt hardware van derden, kunnen ze geen support geven. Immers ben je dan zelf ook verantwoordelijk voor de inrichting ervan: herstelcodes en wat jij al zegt minimaal 2 sleutels registreren. En of iedereen dat kan.

Maar goed, ik deel die frustratie af en toe ook. Niet alleen mbt DigID, maar ook andere partijen. Zoveel apps extra op de telefoon en allen alleen voor het inloggen. Ook verwarrend vind ik bij telefoonwissel, elke partij gaat daar weer anders mee om. Je hebt dus een hoop uit te zoeken voordat je eindelijk kunt overzetten.

Juist met een U2F key ben je niet afhankelijk. Met een app ben je van een heel OS en ecosysteem afhankelijk.

Klopt, maar afhankelijk voor het verlenen van support en goede werking vanuit DigID bedoelde ik. Voor de tweaker minder een probleem, maar voor 95% van NL wel als je niet weet wat je doet en waarop te letten als burger. Als de app het niet doet kunnen ze in theorie makkelijker support verlenen dan bij verlies van een key, niet functionerende key of als gevolg van een verkeerd gekozen key voor het doel (security key vs een full support), evt. verschil tussen een Google Titan en Yubikey. Moet je kijken over hoeveel variabelen ik het dan al heb in 1 zin. Nu weet ik niet of alles daarvan een probleem kan vormen, maar die variabelen zijn er wel. De app bouwen ze zelf, weten ze hopelijk alles van en valt dan ook makkelijker te ondersteunen bij problemen.

De overheid wil niet van derde partijen afhankelijk zijn voor hun 2FA-inlog?
Moet je eens kijken hoe ondernemers bij de Belastingdienst moeten inloggen: met e-herkenning, allemaal in handen van derde partijen.
En moet je de reviews voor die clubs eens lezen, bijvoorbeeld hier.
Veel schimmiger kun je het niet maken, waarom zit zoiets niet bij, bijvoorbeeld, de KvK of voert de fiscus zelf niet 2fa in?

Inderdaad lijkt wel telkens het wiel opnieuw uitvinden. Niet alleen bij de overheid maar wel vaak.

Ik vind het erg jammer dat er geen Nederlandse overheden lijken te weten dat 2FA meer is dan een app of een sms.

Eens. Gister wilde ik inloggen en deed de DigiD-scanner niets bij het scannen van de QR-code. Dan wil ik gewoon mijn TOTP kunnen invullen zoals 9 van de 10 andere 2FA-implementaties ondersteunen, maar overheidsdiensten ondersteunen dat niet. Dan is het wachten tot het probleem is opgemerkt (AKA tot ze eerst 100 keer de zelfde klacht hebben ontvangen) en opgelost. Vroeger had je nog die onveilige SMS als alternatief maar dat kan niet meer.

Weet iemand waarom dat eigenlijk zo is? DigiD is veel en veel duurder dan open en breed gedragen standaarden implementeren waarover iedereen al een gratis cursus heeft gekregen van het internet. Niet in de minste plaats van Google zelf.

Ik vind het ook nooit zo prettig. Ook voor bankzaken vind ik het raar dat steeds meer banken overgaan op een app op je telefoon. Waarmee je dan dus weer inlogt *en* legitimeert met hetzelfde apparaat. En dus weer een single point of failure om gehacked te worden.

Een app om in te logge op een website die je dan 'op een ander device' moet openen zou wel veilig zijn. Maar zo werkt het zelden.

je moet in die apps toch altijd nog inloggen met pincode of biometrisch? Dus geen single point...

Als inloggen met pincode en/of biometrisch beiden op dezelfde telefoon gebeuren dan kan een gehackte telefoon beide methoden prima tegelijk vervalsen.

Zodra je maar 1 apparaat gebruikt voor zowel het openen van de website en het ontvangen van de 'controle code' dan is altijd makkelijker te hacken dan als dat via verschillende apparaten loopt.

[Reactie gewijzigd door aldieaccounts op 6 februari 2023 13:51]

En jij denk dat je een pincode in een bankapp of een fingerprintscanner in een telefoon kan hacken?

Ik denk dat als je een telefoon kan hacken of OS niveau, het er niet zoveel toedoet wat voor pincodes en fingerprint readers er allemaal zijn.

Zoek maar eens op 'zero-day exploits android' en dan zul je zien dat dat geen theoretische zorg is.

Twee apparaten (een computer + ing scanner bijvoorbeeld) is beduidend moeilijker te hacken dan 1. Zeker als 1 van die 2 airgapped is.

DigiD werkt met een koppelcode en daarna een QRcode.
Dat is m.i. niet makkelijk te omzeilen.
De pass-code is alleen om DigiD zelf te openen.
Ik geef toe als ze mijn telefoon stelen, zal ik hem op afstand moeten wissen, wil ik volledig veilig zijn.

Gebruikersnaam + wachtwoord met als additioneel token een sms. Óf inloggen met de app.

ja de vraag is hoe lang ze de sms controle gaan behouden, ik heb er een hekel aan om allemaal apps op mijn telefoon te installeren waarom zou je een app willen hebben voor iets wat je maar een keer per jaar gebruikt...
Maar je ziet langzaam aan alles veranderen.

Ik verwacht nog een tijdje, altans, dat hoop ik. Ik zal beslist niet de enige zijn die de DigiD zaken regelt voor een ander (ouder) persoon die geen toestel heeft geschikt voor gebruik van een app. Nu gebruik ik voor mijzelf een mobiel maar voor desbetreffende persoon een telefoonnummer voor sms controle. Genoeg ouderen, of minder oud, die zelf geen Overheid zaken kunnen regelen of andere zaken waarbij DigiD noodzakelijk is.

Daar zijn machtigen voor. Jij logt dan met je eigen account in en kan vervolgens hun zaken regelen.

Juist. Want dan is het ook duidelijk wie wat heeft gedaan. En kun je er voor kiezen om sommige zaken wel en andere zaken niet te machtigen. Overigens: voor één van mijn kinderen komt de sms gewoon op mijn telefoon terecht. Ik kan dus wel zonder enige aanvullende controle zijn zaken regelen. Je kan dus gewoon voor meerdere accounts het zelfde telefoonnummer opgeven voor sms-verificatie.

Exact, zo heb ik het ook opgelost. Zou niet weten hoe je het moet oplossen als sms straks niet meer werkt en je wilt iets voor je kind doen.

en als je te oud bent om nog kindjes te maken? Laat staan machtigings-mannetjes

[Reactie gewijzigd door cui bono op 31 januari 2023 19:05]

Dus ouderen die digibeet zijn moeten hun login afstaan aan het "mannetje" die voor hun de zaken regelt. Ik zie nu al de spammails groeien van criminelen die deze hulp gaan aanbieden. "Leuker kunnen we het niet maken maar ook niet makkelijker..."

Overigens als de overheid ons verplicht met een smartphone te werken mag de overheid dan ook daarvoor gaan zorgen. Zoiets gebeurde ook met de verplichte ID, die moest dan ineens wettelijk gratis zijn waar snel een stokje voor gestoken werd.

[Reactie gewijzigd door memphis op 31 januari 2023 12:36]

Nee, dat "mannetje" wordt gewoon gemachtigd om namens iemand de aangifte te doen.

Daar zijn machtigen voor.

En om iemand te machtigen moet je eerst inloggen met DigiD, wat dus het probleem vormt.

[Reactie gewijzigd door Redsandro op 31 januari 2023 13:23]

Ik las eerst iets heel anders, complot-wappies-achtigs in je eerste zin.

Ik snap ook niet waarom je vanuit digid niet iemand kunt machtigen (via de app iig) om juist dit soort zaken te regelen. Is namelijk een behoorlijke use case in veel gevallen.

Dat kan wel (Helaas) wel per onderdeel maar ik mag bijvoorbeeld belastingaangifte doen namens mijn vrouw.

Ja maar dat gaat dus via jouw digid (opzich logisch) en alleen bij onderdelen die dat dus ondersteunen. Niet via een digid zelf.

Exact waarom SMS moet blijven. Of ze moeten meerdere accounts in de app toestaan.

Ik liep er tegenaan bij mijn kind, toen nog te jong voor een eigen mobiele telefoon. Je kan maar 1 persoon aan de app koppelen dus ieder persoon vergt dan een eigen telefoon.

Uiteindelijk was sms de oplossing hiervoor.

[Reactie gewijzigd door Aalard99 op 31 januari 2023 12:43]

Daar hebben ze 'Digid machtigen' voor bedacht
https://machtigen.digid.nl/

De eigenaar van het oorspronkelijke Digid-account (noemen we het zo?) kan jou bijvoorbeeld machtigen om bepaalde (of alle) zaken te doen met jouw digid namens die persoon. Dit kan tijdelijk en per onderdeel en alles (ik weet niet 'voor altijd' ook mogelijk is, maar al zou het iedere keer voor een jaar kunnen is dat natuurlijk nog steeds heel praktisch).

Ik gebruik het zelf met onze belastingaangiftes. Mijn vrouw geeft mij een tijdelijke machtiging zodat ik alles kan invullen. Uiteraard kunnen we ook samen 'na elkaar inloggen' enzo, maar dit is voor ons praktischer.

Voor alles en onbepaald zou prima zijn, en aangezien ik ook het briefadres ben voor haar zou ik het zelf volledig af kunnen handelen. Dat is wel zo handig aangezien dementie een struikelblok is voor het verlenen van de machtiging of machtigingen. Dat kan ze zelf niet meer.

Daar staat tegenover, nu gaat het via die sms ook aardig eenvoudig en simpel.

https://machtigen.digid.nl/

Ik laat mijn zaken
regelen
door iemand anders
Iemand machtigen

Ik ga zaken
regelen
voor een ander
Gemachtigd worden
Heeft u een macht

Wat een prachtig gedicht!

bijv. bij mijnRadboud kan SMS al niet meer gebruikt .

https://mijnradboud.radboudumc.nl/

En DigiD blijft maar verkondigen dat het gebruik van een DigiD 'niet verplicht' is. Zo komen ze overal mee weg.

Erger nog, dat je per se een Android of iOS smartphone moet gebruiken om in DigiD in te loggen.

Eigenlijk wordt er al bij commerciële diensten zoals banken en openbaar vervoer naar die richting bewogen.

Dat is inderdaad wat op de website van DigiD staat, maar dat is niet correct. Er zou moeten staan:
"Android met Google Services Framework en Google account of iOS met Apple account".
DigiD wil daar echter niet op ingaan.

Precies dezelfde mening wat dat betreft. Ze zouden gebruik moeten maken van standaarden zodat je zelf bijv Authy of Google Auth, of welke app van je smaak je wilt gebruiken voor het genereren van die codes.

Er zijn al meerdere keren ballonnetjes opgelaten om SMS de deur uit te doen. [1][2], hoewel er dan soms weer een verwarrend signaal komt dat het toch blijft.[3]
De laatste is dat je dan maar iemand moet machtigen als SMS er toch uit wordt gekieperd.

Als ik nu inlog op Mijn Overheid krijg ik echter geen gebruikersnaam + wachtwoord prompt, maar meteen de vraag of ik wil inloggen met de app. Dat is dus geen multifactor..

Jawel. De app is iets wat je hebt, de pincode iets wat je weet. Dat zijn dus 2 factoren.

En de app heeft ook nog eens de extra authentication van de smartphone ge-erfd.

Ook dat, maar daar kun je niet vanuit gaan dat die safe genoeg is. Sommige mensen hebben meerdere personen als toegang of gewoon helemaal geen code.

Daaronder staat een knop Met een sms-controle. Dan moet je je gebruikersnaam en wachtwoord invullen.

En dat is dus "anders" als voorheen. Veel met name oudere gebruikers "snappen" het dan niet meer.
Ook niet wat 2fa is als dat wel wordt uitglegd.

De app wordt geregistreerd en gekoppeld aan je toestel, en heeft een pincode om hem te openen.
2fa dus: telefoon-met-app ("wat je hebt") en de pincode ("wat je weet")

Maar stel dat ik de DigiD app op een andere telefoon zet, een andere pincode kies en daar mijn ID scan, dan kan ik toch ook gewoon inloggen? Of heb je voor het activeren van de app weer wel je gebruikersnaam + wachtwoord nodig?

Om de app op je telefoon te zetten heb je nodig:

- Een gebruikersnaam
- Een wachtwoord
- Een ID bewijs (paspoort, ID-kaart of rijbewijs met NFC chip of
Een SMS verificatie (indien je telefoonnummer bij de administratie bekend is).
- Een smartphone met NFC leesmogelijkheid

Bij het installeren vraagt hij ook of je de app al op een andere telefoon hebt geinstalleerd, waarop ik vermoed dat je het maar op één telefoon kan gebruiken.

Om de app vervolgens te gebruiken moet je een pin-code instellen (in de app).
Om je bijv bij de MijnPensioen website aan te melden moet je dit aangeven bij MijnPensioen (ik wil de app gebruiken). De App opstarten en die vraagt dan of je een Authorisatiecode nodig hebt. Of toon rechtstreeks welke website je benaderd (op de achtergrond communiceert de app (webserver) met de webserver van de site). Vervolgens klik je op Accoord in de app (als de stap 'verificatiecode overgeslagen werd, anders moet dat uiteraard eerst afgehandeld worden) en heb je verbinding.

[Reactie gewijzigd door Het.Draakje op 31 januari 2023 11:01]

En niet te vergeten: een telefoon die de app wil slikken, wat dus betekent dat je aan Android of iOS vast zit.

Helaas wil Logius het niet mogelijk maken om een app voor andere operating systemen dan Android of iOS te maken, noch willen ze de middelen beschikbaar maken om anderen in staat te stellen om zelf zo'n app te schrijven.

Ik zou graag een app zien voor SailfishOS.

Ik zou graag een app zien voor SailfishOS.

Op SailfishOS kan je toch Android-applicaties draaien? Wellicht draagt dat bij aan een lage prioriteit (buiten het gebruik).

Haha, ja je kunt de DigiD-app gewoon installeren op SailfishOS. Maar het werkt niet: voor het scannen van QR-codes gebruiken ze de Google Play Services, die uiteraard niet aanwezig zijn op een SailfishOS-apparaat. Dat probleem treedt dus bij alle degoogled-apparaten op. Een ongelooflijke blunder van DigiD, iyam.

Ik ken de verhoudingen niet maar ik snap wel dat de overheid zich niet gaat richten op exotische OS-en.

Zeker niet als het ook gewoon mogelijk is op dit genoemde OS.

Exotisch of niet, zodra je als overheid dit soort inlogvoorwaarden stelt moet je er mijns inziens voor zorgen dat de gebruiker niet vast zit aan één van de grote spelers in deze duopolie. Je vergroot daarmee de afhankelijkheid van grote Amerikaanse techbedrijven en beperkt tegelijk de ruimte op de markt voor andere spelers. De app afhankelijk maken van Google Play Services is dan echt een domme keuze.

Ik snap alleen niet dat de overheid zich dan wel weer bind aan google services. Dat is toch nergens voor nodig?

Dat probleem treedt dus bij alle degoogled-apparaten op. Een ongelooflijke blunder van DigiD, iyam.

Treedt het ook op bij AOSP gecombineerd met microG?

[...]
Treedt het ook op bij AOSP gecombineerd met microG?

Geen idee. Mogelijk niet. Maar zelfs de manier waarop ze nu de QR-scanner gebruiken is deprecated. Tegenwoordig wordt daar de Vision library oid voor gebruikt. Het is hoe dan ook onnodig om hier Play Services voor te gebruiken, en ik heb ook geen zin om weer fratsen te moeten gaan uithalen in de toekomst.

Dat weiger ik. Dan zou ik net zo goed iodé of LineageOS kunnen gebruiken. Sowieso wordt die emulatie gezien als een gerootte telefoon, dus dat probleem is er ook nog.

Dat weiger ik.

Dan is het probleem niet aan de kant van Logius.

Oh jawel. Logius mag mij niet dwingen om een Android of iOS telefoon af te nemen. Zij hebben een maatschappelijke taak om bredere toegang te verlenen. Dat hoeft niet per se per telefoon. Dat kan bijv. ook met een hardware token of het beschikbaar stellen van een API zodat een eigen app kan worden ontwikkeld. Beide opties worden geweigerd door Logius.

[Reactie gewijzigd door ocf81 op 31 januari 2023 11:49]

Oh jawel. Logius mag mij niet dwingen om een Android of iOS telefoon af te nemen. Zij hebben een maatschappelijke taak om bredere toegang te verlenen. Dat hoeft niet per se per telefoon. Dat kan bijv. ook met een hardware token of het beschikbaar stellen van een API zodat een eigen app kan worden ontwikkeld. Beide opties worden geweigerd door Logius.

Maar je kunt toch met iedere computer met internetverbinding inloggen? Je hebt enkel een telefoon nodig om SMS te ontvangen en dat is onafhankelijk van je OS. De app is enkel een extra service.

Dat is nu nog het geval, maar het is niet het plan om dat zo te houden. De app is sowieso voor het inlogniveau hoog een verplichting. En er moet dus een goed alternatief voor komen waar geen (vorm van) winkelnering bij komt kijken.

Ah, dat is inderdaad kwalijk. Hopelijk komt er een neutraal alternatief voordat SMS-controle verdwijnt.

Oh jawel. Logius mag mij niet dwingen om een Android of iOS telefoon af te nemen. Zij hebben een maatschappelijke taak om bredere toegang te verlenen.

Bron?

Het lijkt me dat men geen dwang kan uitoefenen tot het afnemen van een dienst of product om authenticatie te bewerkstelligen, dat zou winkelnering inhouden en dat is een verboden praktijk. De overheid moet voor iedereen toegankelijk zijn.

Het lijkt me dat

Ah, dus jezelf. Dat zou ik niet neerzetten als feit.

[Reactie gewijzigd door The Zep Man op 31 januari 2023 12:54]

Het punt is dat de wet die dit een feit zou moeten maken al meerdere keren is uitgesteld. Nog even afwachten tot ik een rechtszaak kan starten om dit af te dwingen.

Overigens is er wel een parallel te trekken met deze uitspraak.

[Reactie gewijzigd door ocf81 op 31 januari 2023 13:21]

Overigens is er wel een parallel te trekken met deze uitspraak.

Jein. Die uitspraak betreft het kopen van een specifieke dienst (eHerkenning) voor het doen van aangiften. Waar het in deze discussie om gaat is het hebben van een Android of iOS-platform in het algemeen. Vergelijk het met doen van online aangifte, waarvoor je minstens een computer nodig hebt met een browser, waar een consument vaak ook maar twee keuzes in heeft (Windows of macOS). De vraag is tot hoe ver dergelijke eisen kunnen gaan.

In het ergste geval kan de overheid wellicht een gratis voorgeconfigureerde Android-emulator aanbieden? De computer heeft men al.

[Reactie gewijzigd door The Zep Man op 31 januari 2023 13:32]

Jein. Die uitspraak betreft het kopen van een specifieke dienst (eHerkenning) voor het doen van aangiften. Waar het in deze discussie om gaat is het hebben van een Android of iOS-platform in het algemeen. Vergelijk het met doen van online aangifte, waarvoor je minstens een computer nodig hebt met een browser, waar een consument vaak ook maar twee keuzes in heeft (Windows of macOS). De vraag is tot hoe ver dergelijke eisen kunnen gaan.

Maar de overheid stelt ook Digid verplicht. En in die verplichting zit ook een technologiekeus van enkel platformen die het niet zo nauw nemen met de privacy. Dat is voor mij een onoverkomelijk bezwaar. Dit, terwijl er ook andere keuzes gemaakt kunnen worden die deze nadelen niet hebben.
Door gebruik te maken van open standaarden en het beschikbaar stellen van authenticatiemiddelen die geen binding hebben met een externe technologieleverancier, zoals bijvoorbeeld een open API of een door de overheid beheerde hardwarematige authenticator, zou de overheid zich weerbaarder kunnen opstellen en ook flexibeler kunnen zijn in het meegaan met marktontwikkelingen. De consument kan ook linux of BSD gebruiken. De overheid zou die keus niet voor de burger moeten maken. Aangezien zij dat wel doet terwijl dat niet noodzakelijk is, is er mijns inziens sprake van winkelnering.

In het ergste geval kan de overheid wellicht een gratis voorgeconfigureerde Android-emulator aanbieden? De computer heeft men al.

Nee, want een emulator werkt juist niet. En het idee van de app is nu juist een 2FA opzet te realiseren. Ik wordt gedwongen om de ToS van Apple of Android te accepteren. Er is dus wel degelijk sprake van een gedwongen overeenkomst met een 3e partij.

edit:
Reactie op verplichting platformen toegevoegd

[Reactie gewijzigd door ocf81 op 31 januari 2023 13:47]

Nee, want een emulator werkt juist niet.

Huidige emulatoren werken niet (out-of-the-box, ik durf te wedden dat een tweaker het wel werkend kan krijgen). Als de overheid een pakketje klaarmaakt dan kan het wel werken.

[Reactie gewijzigd door The Zep Man op 31 januari 2023 13:34]

Ik vraag me af of ze dat gaan doen. De opzet is dan te zwak om voor effectieve 2FA door te gaan, wat nu juist de reden is om nu alleen login + gebruikersnaam aan banden te leggen en binnenkort SMS de nek om te draaien. Vandaar ook de vraag om een hardware token of een open API voor implementatie van een eigen app.

[Reactie gewijzigd door ocf81 op 31 januari 2023 13:49]

Maar dan niet gaan zeiken als de overheid zo veel uitgeeft. Principe mogen wat kosten toch?

[Reactie gewijzigd door Frame164 op 31 januari 2023 12:44]

Het een en het ander zijn niet gelijkgeschakeld. Er kan ondanks de extra taken nog steeds sprake zijn van wanprestaties en inefficiëntie.

Nee, aan de kant van de overheid die toestaat dat er verplicht wordt om geregeld een toestel met een recent commercieel os te kopen.

Succes dan met je belastingaangifte.

Die kan nog altijd op papier, hoewel ze de mogelijkheid daartoe heel goed aan het verstoppen zijn.

Ok, dacht dat online verplicht was. Maar even zoeken op belastingaangifte papier gaf binnen een klik het antwoord. Valt dus wel mee met verstoppen.

Snap dat ze het niet promoten want op papier is natuurlijk een dure oplossing.

Hoeveel mag de overheid besteden aan alle exotische varianten die slecht door een handjevol gebruikers wordt gebruikt?

Genoeg om het mogelijk te maken om aan mijn verplichtingen die uit het digidrammen voortkomen te kunnen voldoen zonder daarvoor gedwongen te worden tot winkelnering.

[Reactie gewijzigd door ocf81 op 31 januari 2023 13:10]

Nu laten ze gebruikers betalen met hun persoonsgegevens voor het gebruik van de DigiD app die 'goedkoop' door een stel luie programmeurs in elkaar is gezet met Google code. Dat lijkt me niet de bedoeling van een overheidsdienst.

Ik wil meerdere digid accounts in 1 app zetten maar dat kan niet. Dus dan maar bij SMS blijven

Waarom wil je dat? Als je voor iemand anders zaken moet regelen zijn er machtigen. Die kan je ook gebruiken in de situatie ouder echtpaar met maar 1 telefoon.

Je moet toch machtigen per dienst?

Mag ik wel hopen. Het zou wat zijn als je met 1 machtiging alle toegang krijgt. De belastingadviseur hoeft niet in de kunnen loggen bij de ziektekostenverzekeraar.

Precies, en met DIGID via SMS delen kan ik alles regelen voor iemand. En scheelt een hoop hier.

Ik wil meerdere digid accounts in 1 app zetten maar dat kan niet. Dus dan maar bij SMS blijven

Waarom installeer je de applicatie niet meerdere keren? Zie bijvoorbeeld Shelter.

Omdat ik 1 keer al teveel vindt voor iets wat ik nauwelijks gebruik en moet onderhouden. Dan nog klooien met dingen als Shelter voor meerder instanties.... Nee, ik wil niet afhankelijk zijn van moeilijke procedures als ik een nieuwe telefoon heb. SMS werkt prima en hoef je niets voor te doen. Zolang ze het niet gebruikersvriendelijk maken ga ik geen moeite er voor doen.

Zolang ze het niet gebruikersvriendelijk maken ga ik geen moeite er voor doen.

Het zwaartepunt ligt bij jou en niet bij Logius/de overheid. Waarschijnlijk heb je alleen maar jezelf hiermee.

1 app voor alle 2fa zaken is prima, welke ook een goede recovery optie heeft. Tot dat moment blijf ik bij SMS edg.

Volgens mij vraagt de app of je hem al geïnstalleerd hebt zodat je de app kan activeren via je andere device. Dan heb je geen ID met NFC nodig

Klopt, zo is het een half jaar geleden met mijn nieuwe telefoon gegaan inderdaad. Ging een heel stuk sneller. Het uitlezen van mijn ID-kaart ging nooit heel lekker, vaak meldingen dat hij het niet kon lezen enzo. Geen idee of dat aan de kaart of de telefoon lag overigens...

ik heb zojuist digi d opnieuw op een toestel geregistreerd en had en mijn gebruikersnaam + wachtwoord nodig en mijn paspoort.

Ah, dan is het inderdaad wel multifactor. Als je niet je gebruikersnaam en wachtwoord nodig had voor het registreren van de app dan was het geen multifactor geweest (want dan had iemand die je ID vindt als jou kunnen inloggen), maar zolang dat wel het geval is dan moet je dus in ieder geval je wachtwoord weten + je ID/paspoort hebben

Voor het activeren heb je je gebruikersnaam en wachtwoord weer nodig. Dus volgens mij zit het redelijk dicht.

Plus nog een extra beveiligingslaag, namelijk het ontgrendelen van je telefoon zelf (vaak biometrisch).

Je wilt niet weten hoeveel mensen die bewust hebben uitgeschakeld. Want niks te verbergen, das moeluk, irritant etc.

Zolang er maar een alternatief blijft voor de app zal het mijn tijd wel duren.

Is dat zo? Ik zie het om mij heen nooit. Zelfs mijn opa van 86 heeft tegenwoordig FaceID

Maar wellicht is dat mijn bubbel.

Je wilt niet weten hoeveel mensen die bewust hebben uitgeschakeld. Want niks te verbergen, das moeluk, irritant etc.

Als je een beetje paranoïde bent is het zelfs een goed idee om dat uitgeschakeld te hebben, want politie mag wel je vinger op de scanner leggen om je telefoon te ontgrendelen, maar je kunt niet gedwongen worden om je pincode te geven. Of niet zonder gerechtelijk bevel tenminste.

De DigiD-app volstaat daarbij ook, omdat de telefoon waar die op staat de tweede inlogfactor is.

Als de app de tweede factor is, zal gebruikersnaam+wachtwoord gewoon blijven.

Of blijkbaar toch niet, op basis van de andere reacties..

[Reactie gewijzigd door Christoxz op 31 januari 2023 10:46]

Dat is dus niet het geval nu, je hoeft je gebruikersnaam en wachtwoord niet meer in te vullen bij het gebruik van de app. Zoals @SambalBij aangeeft wel een pincode in de app, dus app + pincode is wel multifactor.

Wat mijn grootste vraag is, waarom gebruikt men DigID niet om te stemmen?
Oh wacht, daar kan dan niet mee gesjoemeld worden....

Dus als je telefoon om de een of andere reden niet beschikbaar is, dan kun je niet inloggen bij de overheid?

Het mag bij Digid ook een vaste lijn zijn.

Weet je het zeker? Heb je dan geen telefoonprovider nodig die je SMS'jes voorleest?

Dat weet ik zeker ja, DigiD detecteert zelf dat het een vaste lijn is en past zich dan aan, het is geen voorgelezen SMS.

Op de website staat dat ondersteunde nummers alleen maar 06- of 070- zouden kunnen zijn ?

Nee, er staat: vast telefoonnummer (070-xxx)

... die 070 enkel een voorbeeld van een vast telefoonnummer, het zou wel erg raar zijn als vaste nummers alleen in Den Haag zouden werken en dat is ook niet zo, werkt overal.

Er mag inderdaad wel eens een 'gegarandeerd start-pad' worden gecreëerd. Nu is het zo dat wanneer er ergens iets mis zit, je steeds makkelijker in een steeds groter kip-en-het-ei probleem belandt.

Bijvoorbeeld: je telefoon zal 'ns worden afgesloten. Je hebt nog keurig een berichtje gehad op dat moment, dat het om een betalingsprobleem zou gaan. Maar je kunt niet meer inloggen bij je bank om e.e.a. na te zien en recht te zetten / aan de telecom te bewijzen, want daarvoor is je telefoon vereist..

Maar wie, en vooral hoe, zou je een telefoon afsluiten? Wat ik kan bedenken is dat je mobiele provider de handel afsluit (wat normaal niet na één berichtje gebeurd), maar die heb je uiteraard niet nodig om bij je bank in te loggen. Dat kan ook via je wifi. Heb je die niet, wifi van de buren. Heb je die ook niet, wifi van de bibliotheek.

Overigens algemeen is dat wel waarom mijn oude telefoon stof verzameld in een kastje: Als two-factor backup.

Interessant hoe een uitdrukkingswijze veroudert. Het telefoontoestel wordt al héél lang niet meer opgehaald . (Ooit waren ze huur van de PTT.) Maar inderdaad, ik heb 't over de mogelijkheid te bellen en SMS-en.

Met name doelde ik op het wegvallen van de SMSjes. Ik vermoed daarnaast dat je zonder SMS te kunnen ontvangen ook geen andere smartphone + app kunt autoriseren (oud, nieuw, of van de buurman) wanneer je telefoon defect is gegaan. Daarbij helpt een oude smartphone alleen als hij eigenlijk niet oud is, want deze apps stellen juist de hoogste eisen aan recentheid (en banken de-autoriseren daar bovenop waarschijnlijk toestellen die langere tijd niet gebruikt zijn).

Alles wordt afhankelijk van je telefoon. We worden erg kwetsbaar.

Vroeger ging alles via de postbode, waar denk je dat een groter risico op een datalek zit. Bij een encrypted verbinding op een mobile device, of bij een postbode die de ene dag de inlog en de andere dag het wachtwoord verstuurd.

Als je die postbode overvalt heb je een paar wachtwoorden. Wordt zo'n grote database gehackt dan heb je er ineens miljoenen. Het kan wellicht beter beveiligd zijn maar als het mis gaat gaat het ineens grondig mis. Een groot nadeel van alles willen centraliseren, het is makkelijker te organiseren om een grote database te hacken dan dertigduizend postbodes tegelijk te overvallen.

Je kan ook de postauto overvallen die weg rijdt bij de printstraat van de bank.

Correct. En ik kan dan ook niet meer inloggen bij de ING, of bij mijn beleggingsbank, of mijn werk, dus wat bedoel je precies?

Waarschijnlijk, tenzij je nog een andere methode hebt geautoriseerd.

Voor de meesten zal dit niet zo'n probleem zijn omdat je niet zo vaakt inlogt bij de overheid ?
In mijn geval zal het aantal keer op 1 hand te tellen zijn.

Kans dat je dan tegelijk met het niet beschikbaar zijn van je telefoon en willen inloggen bij de overheid zal redelijk klein zijn.

Mogelijk kun je ook gesproken SMS bericht op je vaste lijn thuis autoriseren als alternatief ?

Het is inderdaad een beetje jammer dat ze - zoals wel meer instanties - het wiel opnieuw moeten uitvinden met een eigen app. Waarom niet (ook) een gewone standaard ondersteunen, zoals FIDO?

Dat vind hier niemand een probleem als ik zo de reacties lees maar dat is een van de reden waarom ik mijn telefoon niet voor dit soort zaken wil gebruiken.

Daarom is het verstandig om backups te hebben. Ik heb niet alleen mijn telefoon maar ook mijn tablet voor diverse apps om in te loggen en verder werken bepaalde applicaties ook op mijn pc of laptop. Vooral als je niet meer 2FA kunt gebruiken, is het heel lastig om dat te herstellen. Veel sites of diensten zijn er totaal niet op ingericht als je eens wat vergeet. Of ze zijn veel te goedgelovig en herstellen het zonder goed te checken of degene aan de telefoon ook is wie hij/zij zegt te zijn.

Ik blijf me verbazen over de wijze waarop MFA gedaan wordt.
Waarom SMS? zowel kwa gebruiksvriendelijkheid als mate van beveiliging is het een slechte keuze voor de eindgebruiker.

De TOTP standaard is bewezen technologie en ook een fysieke keys zijn tegenwoordig op alle platformen goed te gebruiken. Ik heb meerdere mensen van de oudere generatie die blij zijn met hun Yubi key en het geeft hun een tastbaar gevoel van veiligheid. Gewoon insteken of tegen het device aantikken en het werkt. Geen lastige codes, aparte apps of berichten die vertraagd aankomen. Met name phishing via mail/sms door nep codes te sturen icm een link die aangeklikt moet worden is een drama. Eind gebruikers zijn veel te makkelijk te misleiden. Minder interactie is hier deels de oplossing.

In tegenstelling tot de beschikbaarheid van SMS is de markt-penetratie van YUBI-keys afgerond naar gehele getallen 0%

Even afgezien daarvan is het natuurlijk ook niet gewenst dat iedereen een apparaatje moet aanschaffen wat hij/zij nergens anders voor wenst te gebruiken (anders hadden ze het al?) dan de DigiD diensten. Vrijwel iedereen die DigiD wenst te gebruiken heeft toegang tot SMS, desnoods via een bekende.

Ik denk dat je overschat hoeveel mensen een apparaat hebben met een USB poort. Zowel mensen onder de 25 als boven de 65 hebben toch geen laptop/pc meer. Alles kan tegenwoordig op een tablet en smartphone. Alleen wij tweakers hebben nog voordelen aan een daadwerkelijke machine met windows/linux/macos

Yubi keys doen gewoon NFC ook met Android en iOS.

Ik denk dat je overschat hoeveel mensen een apparaat hebben met NFC.

Gisteren hele verhalen van de Nederlandse bank en consumentenbond dat 1 op de 6 Nederlanders nog niet eens online kan bankieren of zelfs de app van de bank kan installeren.

Worden nog meer mensen nu uitgesloten van diensten van de Rijksoverheid door die digid?

niet kan of niet wil?
Wat betreft de app ben ik ook een onwillende.
Ik bankier op m'n pc, ik hoef die app vooralsnog niet op m'n smartphone/tablet te hebben.
Maar als het niet anders meer kan, dan zal ik moeten.
Het is een kwestie van willen.

Als mensen echt willen, doen ze er moeite voor om het voor elkaar te krijgen.
Het is vaak gewoon luihuid/onwil.

Ik bankier op m'n pc, ik hoef die app vooralsnog niet op m'n smartphone/tablet te hebben.

Waarom eigenlijk niet? Even kort door de bocht zijn telefoons vaak veel veiliger namelijk. Er is enorm veel meer malware voor Windows dan voor iOS, bijvoorbeeld.

Als mensen echt willen, doen ze er moeite voor om het voor elkaar te krijgen.
Het is vaak gewoon luihuid/onwil.

Ik heb verschillende customer journeys voor digi-toegankelijkheid (WCAG) gedaan met mensen die een beperking hebben. De beperkingen zijn heel divers. Visuele beperkingen, maar ook handen niet goed kunnen gebruiken of een verstandelijke beperking. Het is voor deze groep écht geen onwil.

Het is eerder onwil en onwetendheid van ontwikkelaars, die de behoeften van deze groep niet (er)kennen. De implementatie van WCAG binnen overheidsland is nog niet wat het moet zijn, maar bij commerciële partijen is het al helemaal om te janken. En onder die laatste groep schaar ik ook software/webapplicaties die ontwikkeld zijn door (grote!) commerciële partijen die veel voor overheidsinstanties doen.

[...]
Waarom eigenlijk niet? Even kort door de bocht zijn telefoons vaak veel veiliger namelijk. Er is enorm veel meer malware voor Windows dan voor iOS, bijvoorbeeld.

Voor mij gaat het meer om platform onafhankelijkheid en niet afhankelijk zijn van smartphone fabrikanten mbt ondersteuning (dit laatste irriteert me nogal). De overheid zou daarom ook nooit over moeten gaan naar alleen app.
Zelfs mijn bank, ABN AMRO, begint hun app nu wel heel erg te pushen. Bij bijna elke login staat er een berichtje dat ze gaan stoppen met die reader.

Ik draai alleen nog linux (ook op mijn mobiele spul) en dat is geen probleem als de browser gewoon gebruikt wordt voor dit soort zaken. Imo moeten deze belangrijke zaken platform onafhankelijk blijven.

Ooit bedacht dat je gewoon geen bank app op je telefoon wil omdat banken gewoon datagraaiers zijn? Alle bank apps hebben een enorme hoeveelheid trackers ingebouwd en banken zijn ongeveer net zo nieuwsgierig naar wat jij op je telefoon doet als een google of een facebook. Op mijn telefoon komen dat soort apps gewoon niet.

Sowieso zijn er geen officieel ondersteunde apps voor SailfishOS.

Nou, 'enorme hoeveelheid'... Ik vind dat persoonlijk erg meevallen voor de bekende banken. https://delft.piratenpart...rtijen-kijken-met-je-mee/

Daarnaast zijn er natuurlijk nog extra maatregelen te nemen. Zo gebruik ik zelf 9 v/d 10 keer een bankierapp op mijn eigen WiFi-netwerk en wordt er eea geblockt via Pihole. En daarnaast zijn financiële gegevens ongeveer het meest vertrouwelijke dat ik aan data heb. En die informatie hebben ze toch wel, met of zonder trackers

Prima dat jij een andere keuze maakt natuurlijk, maar het is wel een reden die niet veel zal voorkomen.

Elke tracker is er een te veel.

De reden dat die niet veel zal voorkomen is puur onwetendheid en kuddegedrag. Met beide heb ik weinig op.

De Knab bank wil zo graag je persoonlijke gegevens dat ze de app verplicht hebben gesteld. Je mobieltje kan ze de hele dag vertellen waar je uithangt en met wie. Ook wie al je vrienden zijn, hoe vaak je met ze communiceert en wellicht waarover, welke interesses je hebt en wat er in je agenda staat . Ik weet niet welke permissies allemaal worden gevraagd voor de verschillende apps, maar dat is over het algemeen meer dan nodig is voor wat ze bieden. Het is een leuke extra inkomstenbron. Waarom zou ABNAMRO de Tikkies gratis aanbieden? Niet uit liefdadigheid.

Alle bank apps hebben een enorme hoeveelheid trackers ingebouwd en banken zijn ongeveer net zo nieuwsgierig naar wat jij op je telefoon doet als een google of een facebook.

net even wireshark opgestart en daarna de ING app gestart....zie eigenlijk niets bijzonders. Heb je ergens een bron?

ik gebruik https://reports.exodus-privacy.eu.org/. De ing app heeft kennelijk geen trackers (meer?). Maar wel eng veel permissies.

Trackers zijn voor externe bedrijven, maar permissies zijn heel handig voor de ING zelf. Zo kunnen ze alles over je te weten komen. Tegenlicht heeft ooit een leuke documentaire gehad over een stel studenten die een zaklamp app maakten met waanzinnig veel permissies. Die werden door gebruikers goedgekeurd, waarna ze hun berichten konden lezen, camera en microfoon konden gebruiken. Uiteindelijk zorchten ze de gebruikers op op hun locatie (die ze ook hadden) om te vertellen hoe naïef ze waren geweest.

Waarom eigenlijk niet? Even kort door de bocht zijn telefoons vaak veel veiliger namelijk. Er is enorm veel meer malware voor Windows dan voor iOS, bijvoorbeeld.

Meerdere redenen:
- minder overzichtelijk, sommige dingen lijken alleen te kunnen via web of zitten in de app goed verstopt
- telefoon kan gejat worden, enkel een 5 cijferige pincode zal makkelijker te kraken zijn dan pas+reader+pin nodig hebben, 1FA is al kapot bij in bezit krijgen van telefoon
- als je meerdere rekeningen hebt hoeven deze niet altijd allemaal bereikbaar te zijn
- bij lang gebruik en/of budget telefoon is de ondersteuningsperiode afgelopen of zeer kort, daardoor nieuw risico als je geen patches meer krijgt
- niet alle bankapps functioneren of zijn überhaupt te downloaden als je een custom ROM draait, die wellicht zelf meer gericht is op privacy dan fabrikant af. Dit kan overigens ook samenvallen met het punt hiervoor, als je daarom een cROM gaat draaien.

In principe is zo'n bankapp en helemaal banken die niet anders meer aanbieden dan een app en je dus in feite verplichten de app te gebruiken net als het verplicht moeten nemen van een NAS met RAID6, terwijl een losse harde schijf ook voldoende was. Lang niet in alle gevallen heb je die toegang nodig, laat staan continuïteit en is dat mogelijk een onnodig risico. Bij gebruik van een rekening waar je alleen via het web naar toe gaat, kan je ook de pas thuis laten en kan er niemand bij. Naast dus de andere punten.

nee, voor mijn vader van 91, gaat bv telebankieren te snel. Tegen de tijd dat hij alles ingevuld heeft is de code alweer ververst. En wat voor ons (en mij) allemaal logisch is, werkt bij ouderen echt anders.

ik ben van mening dat dat gewoon een kwestie van veel oefenen is onder begeleiding.
En anders bij elke inlog hulp van iemand uit de omgeving. Het hoeft allemaal niet zo moeilijk te zijn.
Beren op de weg kunnen gevraagd worden om te helpen

yeah, in een ideale wereld zou dat zo werken, maar ik kan moeilijk bij iedere bestelling meehelpen.
Sterker, het is ook helemaal niet moeilijk, maar wel voor iemand van 91 met slechte ogen. En voor hem , maar ook voor zijn omgeving is het frustreren. Dan staat er ineens een toegangscode op zijn iPad en hij heeft niets gedaan . En dan aan mij vragen wat de code is.

Herkenbaar hoor, hier net zo bij ouders van rond de 80. Wat moet op de laptop en wat moet op de telefoon? Talloze keren uitgelegd, maar het blijft gewoon ingewikkeld. En tegen de tijd dat het duidelijk is, is de geldigheid van de sessie alweer verstreken...

Niet alleen uitleggen, laat ze het zelf opschrijven voor in hun eigen begrijpelijke taal. Evt. samen meteen in een Word document, kan je er ook nog wat screenshotjes bij doen, de boel uitprinten. Ik heb gemerkt dat ze vaak informatie die jij levert maar half opnemen en ook jouw woorden op papier half begrijpen, schrijven ze zelf is er meer herkenning.
Elk weekend oefenen. Maak 1 cent over naar jouw rekening, doe dat 5x op een dag. Gaat er wat mis, geen man over boord. Slechts 1 cent en naar een bekende rekening.

Wat dat betreft al jaren over verbaasd dat banken geen app hebben met een testnetwerk. Dat een "leraar" (zoals jij en ik) een app van elke bank kan downloaden en zo het bij diverse mensen kan voordoen. Want een probleem is ook dat ik het bijv. kan uitleggen, maar mensen willen niet dat ik zie wat er op hun rekening staat. Ook ga ik zelf natuurlijk niet testaccounts aanmaken bij alle banken zodat ik dit kan doen, waar ik me elke maand aan scheel betaal. Nu kan je niet anders dan op die manier, direct via hun of mijn volwaardige rekening. Dus vaak komt dat neer op dan maar geen uitleg of een halve uitleg, waardoor men nog steeds niet begrijpt of ermee kan werken. Met een app in testomgeving ipv productie kan je ook allerlei dingen testen zonder dat je geld verliest als het even niet goed ging. Gare banken, kunnen ze toch ook zelf bedenken zonder dat iets als DNB dit moet opleggen? Dit laatste heeft dus betrekking op een artikel van gisteren: DNB: 2,6 miljoen mensen worstelen met digitale betaalwereld

[Reactie gewijzigd door Aardwolf op 31 januari 2023 12:21]

dat verhaal van handleiding maken is ook gebeurd, en vervolgens vergeten ze dat die er is
Of begrijpen ze die niet meer. Ik snap je punt hoor, en ik ben helemaal voor 2FA, maar er is gewoon een generatie waar dat niet/slecht voor werkt en dat knelt.

Haha dat herken ik ook, maar bedoel in hun woorden uitgewerkt zijn er zoveel kopieën te maken als nodig. Neem aan dat als het in elke hoek ligt en eventueel met een briefje op de pc waar die handleiding ligt men niet meer kan vergeten dat ze een handleiding hebben en zelfs dus niet meer vergeet waar er 1 ligt, want het ligt zo ongeveer overal. Dit probleem ben ik namelijk ook vaker tegengekomen. Zolang er op die papieren geen pas- en pininformatie staat en slechts de aanwijzing is er weinig mis met tig kopieën. En dat geldt voor bankieren, digid, hoe de pc werkt, basic acute routerproblemen, noem het maar op. Het simpele tipje pas met de 2FA code in te gaan vullen als de timer net weer opnieuw is begonnen, etc. 30seconden is kort, maar het maakt nogal uit of je ergens in het midden begint of net nadat hij weer op 30s is begonnen.

Grootste probleem is dat we als kinderen en maatschappij soms te weinig tijd, geduld of mogelijkheid hebben om het telkens te blijven uitleggen. Ben zelf wel van mening dat het te leren is, mits de motivatie van die persoon er is. Iets tastbaars hebben en in het begin vaak kunnen oefenen waar fouten maken niet erg is, helpt daarbij (enorm). In geval van de bank meteen aanzienlijke bedragen willen overboeken voor het echte werk dat maakt het eng, niet willen of durven, daardoor uitstellen en dus uiteindelijk niet meer weten.

En er zal idd ook een groep mensen overblijven waar het niet voor werkt. Toch vraag ik me af of dat niet van alle tijden is. Ik ken bijvoorbeeld iemand in de leeftijd 20-30 jaar die nog altijd de spullen laat kopen door de ouders, omdat deze zich niet vertrouwt met inloggen bij de bank. Oké, ietwat last van (mentale) beperking, maar ook onderdeel van een groep waarvoor dit ongeacht van 2FA altijd problematisch zal blijven. Ik vraag me af of die extra handeling voor 2FA het probleem is of meer het totaalplaatje van doen. Want naar dat laatste neig ik eigenlijk meer.

Exact hetzelfde met mijn opa (94), zolang die alles op een mooi groot desktop scherm kan doen lukt het allemaal wel. Wat ik oprecht knap vind op die leeftijd.

Maar zodra die op een pietluttig telefoon of tablet scherm met touch besturing moet gaan prullen lukt dat gewoon niet meer.

Ik snap dat het nooit zo veilig wordt als een dedicated en apart apparaat maar voor dit mensen maak zou het weel schelen als ze een code per email krijgen oid

@the_stickie SMS evenmin
Maar het gaat me er vooral om dat je een hele groep mensen zoals veel ouderen uitsluit door het verplicht via een klein telefoonscherm te laten lopen.

[Reactie gewijzigd door !mark op 31 januari 2023 13:39]

Alleen is e-mail nu niet bepaald een echt veilig communicatie middel

klopt, er zijn altijd mensen waar wel iets over te verzinnen valt.
Dat gaat inderdaad niet werken, maar dat valt dan ook niet te verwachten.
Op basis daarvan kan je dan zeggen 'zoveel op de zoveel 'kan' het niet'.
Maar goed, daar zitten we dan met hetzelfde probleem als iemand die om wat voor beperking geen auto kan of mag rijden. Ik tel die eigenlijk al niet eens meer mee in de statistieken.
Dus daar zit ik dan fout met m'n eigenwijze insteek

welkom in de wereld van bejaarden. Oma ziet slecht, heeft bevende handen (probeer dan maar eens een 6 cijferige code in te voeren binnen 30 seconden) en ondanks dat ze verre van dementerend is,gaat er veel langs haar heen, laat staan dat ze begrijpt wat MFA of TFA is.

Waar heeft ze DigiD voor nodig? Belastingaangifte hoeft ze niet meer te doen denk ik.

dus wel, eigen huis, diverse inkomsten, niet elke oudere heeft alleen een aowtje

Digid is meer dan je belasting; gemeentezaken, verzekeringen, pensioenfondsen, etc... services hangen daar meestal ook aan, tel daar ook nog de banken met hun kastjes en codes bij, het feit dat je uren aan telefonische helpdesks met hun k*t-bandjes en keuzemenu-bagger hangt, verdwijnende filialen (want klanten en service zijn alleen maar duur, lastig enzo...) en waarschuwingen op tv dat je vooral moet uitkijken voor enge online criminelen die je pasje aan de deur komen ophalen...
Dat maakt het ook niet eenvoudiger voor ze...men is bang iets verkeerd te doen en dat is best te begrijpen.

We mogen wat dat betreft best eens een pas op de plaats maken voor dit nogal ondergeschoven deel van de maatschappij.

Tja. Is een lastig probleem.

Internetbankieren bestaat al 25 jaar. Dus iemand die nu 80 is was toen 55. Die heeft 25 jaar de tijd gehad om aan de digitalisering te wennen.

Fysieke, bemenste locaties zijn duur. Zeker als er maar een handvol mensen per dag langs komen. Ik ben het met je eens dat we het ondergeschoven deel van de maatschappij moeten beschermen. Maar aan de andere kant mag een stukje zelfredzaamheid (al dan niet met behulp van anderen) verwacht worden. We zijn als samenleving steed meer naar anderen (overheid, bedrijven etc) gaan kijken. Dit is niet meer vol te houden (lees betaalbaar).

De oplossing zal ergens in het midden liggen.

Je hebt zeker een punt mbt een bepaalde zelfredzaamheid maar de komende 20 jaar moeten we zeker nog rekening houden met de 45-50rs van toen en dat zeker niet afdoen zoals het tegenwoordig vrij vaak gaat: "kijkt u maar in de app, regel het zelf...".

De laatste X jaar (laten we voor het gemak zeggen sinds de introductie van de iphone) is er een zeer duidelijke en dwingende houding vanuit elk bedrijf en overheid om alles maar in apps en telefoons te schuiven en semi-direct de rest vd service uit te faseren of uit te besteden aan een helpdeskclub die soms ook allesbehalve handig zijn - men gaat er maar van uit dat ergens een link op een site plempen voldoende is voor de mensen om het eea zelf uit te vogelen...

Men heeft 25 jaar kunnen wennen aan verschillende pasjes en de Euro, maar dat niet gedaan ivm geen directe noodzaak en nu wordt dat allemaal pijnlijk duidelijk en ervaart men het als een geforceerde verandering en dan is het lastig....

Het is best een complex probleem maar "de knop om en regel het maar in de app" is misschien iets te rigoreus op dit moment...

In 25 jaar is er veel veranderd. Het telebankieren bestaat overigens al langer. Maar wat erg vervelend is voor ouderen is dat banken zo nu en dan hun website aanpassen. Het inlogknopje verplaatst dan naar een andere hoe van het scherm en dan klopt er niets meer van dat wat ze zich met veel moeite eigen hebben gemaakt.

ik vind dat die mensen dus sowieso zouden niet moeten hoeven internetbankieren. Heeft gewoon geen enkele zin meer. Dat kan alleen onder begeleiding.


(edit: formulering was niet zoals ik bedoeld had)

[Reactie gewijzigd door Anoniem: 421923 op 31 januari 2023 12:06]

wat is dat nou voor een redenering. Wat jij zegt is dat als mensen oud zijn, ze dingen niet meer zelf mogen doen. Waar leg je de grens, als dat al zou kunnen?

Je kan een hoop zeggen, maar haar belasting aangifte snapt ze zelf wel degelijk. De laatste jaren kijken we hem wel na, maar nog nooit fouten in gevonden.

er zijn er die het wel kunnen, en die moet je het lekker laten doen.
Maar als er geen onwil is maar gewoon echt niet de capaciteit hebben, dan vind ik dat daar ook geen dwang moet komen. Als het niet lukt, hoeft het niet, ook niet forceren.

Overschrijfformulieren bestaan nog gewoon. Dus je zou zonder internetbankieren kunnen.

Al je betalingen in een schriftje en je weet altijd je saldo (mits je precies weet wat er iedere maand binnenkomt).

You mening is niet correct in deze. Ouderen wordt gewoon te weinig rekening mee gehouden in deze processen.

nee, voor mijn vader van 91, gaat bv telebankieren te snel. Tegen de tijd dat hij alles ingevuld heeft is de code alweer ververst. En wat voor ons (en mij) allemaal logisch is, werkt bij ouderen echt anders.

Het is toch positief dat hij het toch probeert?

Mag ik vragen waarom je enkel op je PC bankiert? Uit onderzoek blijkt dat dat veelal een groter risico is dan via de app.

offtopic:
ik heb een dwangneurose om zo weinig mogelijk vooringestalleerde apps te hebben.
Mijn serieuze prive-mail laat ik ook niet automatisch naar binnen slurpen bijv. Alleen een gaar gmail account wel. De rest zit achter een webmail login.

Een bankieren-app zit dan gekoppeld op mijn telefoon. Als ik m'n telefoon kwijtraak of iemand krijgt m ontgrendeld in handen dan kan die zo bij mijn bankzaken, al was het maar met 'leesrechten'.
Ik houd m'n telefoon zo clean mogelijk.
Ook voor internationaal reizen gewoon zo weinig mogelijk vooringelogd spul waar autoriteiten dan bij kunnen om mijn interesses te bekijken.

Zo clean mogelijk, dan boeit het ook minder als ik m kwijt raak of als iemand het ding onbedoeld (ontgrendeld) in handen krijgt.

Een bankieren-app zit dan gekoppeld op mijn telefoon. Als ik m'n telefoon kwijtraak of iemand krijgt m ontgrendeld in handen dan kan die zo bij mijn bankzaken, al was het maar met 'leesrechten'.

Ik mag toch écht hopen dat je bankieren app ook een eigen login heeft. Als ik naar mijn eigen situatie kijk kun je helemaal niets zien bij mij ook al zou ik je m'n telefoon ontgrendeld geven.

Voor de bank app heb je m'n vingerafdruk (of pincode van de bank) nodig.

vanzelfsprekend, maar als de app er toch al niet op staat is dat ook een zorg minder

Het was initieel vanwege veiligheidsissues, argwaan om mijn bankzaken te regelen op een mobiel device. Het zal nu inderdaad veiliger zijn maar ik ben er al die jaren nooit aan begonnen.
Ik weet wel dat ik de app dit jaar wel een keer zal gaan installeren, maar waarschijnlijk alleen op m'n ipad, niet op iphone.

Zeer verstandig. Ter geruststelling: heb hier zelfs geen simkaart in m'n smartphone, maak enkel gebruik van wifi van derden (legitiem) en een firewall (met het principe alles blokkeren, beetje bij beetje toestemming verlenen dat een applicatie net goed genoeg werkt).

Fair enough!

Tsja, bij een app op je mobieltje weet je zeker dat je gegevens worden gedeeld met partijen die er niets mee te maken hebben terwijl dat op een PC een mogelijkheid is.

Als mensen echt willen, doen ze er moeite voor om het voor elkaar te krijgen.
Het is vaak gewoon luihuid/onwil.

Klinkt wel heel erg alsof je van je bevoorrechte positie hoog in de toren oreert. Niet iedereen is digitaal vaardig of heeft de middelen om dat te worden. Niet iedereen heeft het sociale netwerk om gebreken in dit soort vaardigheden op te vangen.

Laten we de mens centraal stellen en niet de techniek. Dat betekent dus altijd een alternatieve route aanbieden voor hen die daar behoefte aan hebben, ook als dat ten koste gaat van 'efficientie'.

het gaat me er meer om dat men constant in de teneur blijft hangen van 'kan niet'.
In plaats van oplossingen verzinnen zodat iets wel kan of lukt.
Constant roepen 'kan niet' zorgt ervoor dat het ook nooit gaat kunnen.

Soms 'hoeft' iets ook niet. Als stokbejaarde hoef je niet meer perse nieuwe dingen te leren.
Dan is er geen sprake van niet 'kunnen' maar niet 'hoeven'.
En dan is het probleem van 'kan niet' ook automatisch opgelost.

Look at the bright side

[Reactie gewijzigd door Anoniem: 421923 op 31 januari 2023 12:02]

Kan.

iedereen 'kan' dat.
Toegang tot internet is op vele manieren te regelen. Desnoods de bibliotheek (al zou ik dat natuurlijk niet aanraden).
DigID aanvragen en klaar is kees.
Desnoods hulp vragen bij vrienden, familie of bel de bank.

Ik 'kan' nu ook niet mobiel internetbankieren met de app van mijn bank, maar dat komt omdat ik deze niet heb geïnstalleerd en ingesteld.
Daarmee is 'kan' dus een kwestie van 'nog niet gedaan' in plaats van 'echt niet kunnen'.

Voorheen dacht ik dit ook. Waarschijnlijk glad ijs wat ik ga typen, maar 1 op de 12 mensen heeft een IQ lager dan 84. Jordan Peterson zegt in een video dat het Amerikaanse leger hierop selecteert, omdat het meer tijd kost deze te begeleiden dan dat het oplevert. Met 17,4 miljoen mensen zijn dat 1,45 miljoen mensen.

Dan heb je natuurlijk ook nog o.a. ouderen die minder met telefoons/pc's hebben of er nooit interesse in hebben gehad.

Lang verhaal kort, zeggen dat iedereen iets kan klopt gewoon niet

ik ging wat te snel inderdaad.
De echt oudere generaties ga je dit niet meer leren. Zo gaat dat sowieso wel met generaties en technologie.
Jeugd van tegenwoordig kan niet omgaan met cassettebandjes. Werkt twee kanten op.

Er is altijd wel een doelgroep te verzinnen die het niet kan maar ik kijk liever naar de generieke doelgroep.
Er zijn ook minder oude mensen die het prima zouden moeten kunnen qua geestelijke ontwikkeling en qua technologische generatieskills maar waar het gewoon onwil is.

Beste tyrunar,

Hoe men nu om gaat met deze "niet generieken" is de basis voor de omgang met dit soort medemensen in de toekomst.

Er komt een tijd dat u ook buiten de "generieke doelgroep" gaat vallen...

en daar heb ik vrede mee want ik weet dat er een tijd komt dat ik gewoon niet meer mee kan komen.
Dan hoef ik het ook niet meer te willen.

Ik hoef als oudere dan zelf echt niet meer allerlei fancy dingen te bestellen in webshops.
Mijn belastingaangfite zou op een andere manier moeten maar aangezien ik 'oud' ben, zal mijn belastingaangifte niet zo bijzonder meer zijn dat ik het echt helemaal zelf zou moeten doen (zou automatisch moeten, overheid weet immers genoeg van je op dat vlak).

[Reactie gewijzigd door Anoniem: 421923 op 31 januari 2023 11:46]

Maar er zijn erg veel "niet generieken" die wél willen, maar niet kunnen. Die zijn er echt nog niet klaar voor om bij de NVVE aan te kloppen omdat het steeds moeilijker gemaakt wordt om aan het normale leven deel te nemen.

1 op de 12 mensen van wat? Lijkt mij erg hoog.
Of soms 1 op de 12 van de mensen die zich aanmeldt bij het Amerikaanse leger?
Daar kan ik me wel iets bij voorstellen (omdat het meestal niet de eerste keus is)

Zal idd 1 op de 12 mensen zijn die zich aanmeld.

Als je kijkt naar de totale bevolking moet +- 1 op de 6,33 onder 'beneden gemiddeld'/zwakbegaafd vallen. Geloof dat men in Nederland wel gemiddeld ff slimmer is dan wereldwijd.

Dat is als wikipedia iig klopt https://nl.wikipedia.org/wiki/Intelligentiemeting => 'Hoe vaak komt een bepaalde IQ-score voor?'

Maar goed, wat ik bedoelde te zeggen is dat niet iedereen kan internetbankieren. En als 5 op de 6 wél internetbankiert, dit best hoog is, en misschien nooit hoger gaat komen.

iedereen 'kan' dat.

Iedereen met een Android of iOS telefoon 'kan' dat (en zelfs dan zitten er nog voorwaarden aan). Dat is natuurlijk waarschijnlijk meer dan 98% van de relevante (qua leeftijd/geestelijke gesteldheid/enz) bevolking, maar dus niet 'iedereen'.Die overige 2% kunnen natuurlijk wel eventueel 'gewoon' de mobiele sites gebruiken.

Nog een kleine correctie. Het gaat om iedereen met een Android telefoon met Google Services Framework en een Google account of een iOS met Apple account.

Het is vaak gewoon luihuid/onwil.

Wanneer je principieel geen app op je toestel wilt is dat een ander verhaal. Ik denk dat dat eerder de reden zal zijn dan simpelweg luiheid.

En waarom is dat uitsluiten, die verantwoordelijkheid ligt toch echt bij jezelf of je je een keer echt gaat verdiepen in deze materie.

Al jarenlang lees je kreten zoals ‘Niet aan mij besteed’ - ‘Ben ik te oud voor’ - ‘Doet mijn man/zoon/dochter altijd’ - ‘Doe het liever via een overschrijving’ etc etc

Dit stadium zijn we nu wel een keer voorbij en er zullen heus wel uitzonderingen zijn maar kom op zeg, het is 2023

Al jarenlang lees je kreten zoals ‘Niet aan mij besteed’ - ‘Ben ik te oud voor’ - ‘Doet mijn man/zoon/dochter altijd’ - ‘Doe het liever via een overschrijving’ etc etc

Ik heb een buurvrouw die dat inderdaad zo deed. Haar man deed alles, maar dan ook écht alles, voor haar. Nu is haar man vorig jaar bij een ski ongeluk overleden en zit ze met de gebakken peren, want ze kan het zelf écht niet (goed, het is meer dat ze het niet wil, maar dat is een andere discussie).

"Het is jaar X" blijft een slecht argument. Het moet nog steeds een keuze blijven of je je al dan niet wil inlaten met Amerikaanse techbedrijven wat ook een reden kan zijn om geen smartphone te willen. De overheid biedt ook al jaren software aan voor knutselaars met een Linux pc, met smartphones wordt dit toch lastiger.

Overigens staat intussen in 2023 een niet-verkozen staatshoofd met het gezin dansen en broodjes te bakken in een "voormalige" kolonie die nog steeds deel is van het land, de meeste normale landen hebben zoiets ook al lang afgeschaft toch? Jaartal zegt niets...

De koloniën hebben meermaals de keuze gekregen om zich af te scheiden en kiezen er zelf voor om dat niet te doen.
Als je ziet hoe ons koningshuis daar ontvangen wordt zijn ze daar trotser op de monarchie dan wij hier. Dus je kan niet alles met woke argumenten slopen.

die is niet niet-verkozen.
Het is gewoon een democratisch besluit om de monarchie in stand te houden.
Als het gros van de twee Kamers het wil kan Nederland gewoon een republiek worden.

Prima argument maar zou jij nog echt in willen loggen met [e-mail] met als wachtwoord Welkom1234

Mijn tante is zoiemand. Nu in de 80 en eigenlijk al vanaf 60+ geprobeert analoog te blijven. Nu heeft ze een telefoon met Whatsapp erop, maar ook daar en haar TV is al erg lastig. Die heeft dus ook geen sterke wachtwoorden. Mijn moeder heeft het daar ook al lastig mee, vooral als het niet helemaal goed gaat (applicatie uitgelogd, geen automatisch aanvullen of iets dergelijks).

Het is vooral desinteresse om het niet te doen en om op die manier lekker iemand anders alles op te laten lossen om zelf lekker lui te kunnen zijn. Want als iemand je bankzaken voor je doet, dan kun jij lekker op je stoel zitten met een koekje en een kopje thee.

En dan is het vaak "oh dat doe ik wel even", maar dat moet je juist niet doen. Want dan leren ze het nooit. Natuurlijk mogen ze hulp vragen, maar je moet het ze zelf laten doen, hoe lang dat ook duurt. En dan niet "klik hier, klik daar" zonder dat ze kunnen orienteren en bedenken wat de flow gaat zijn, maar helpen navigeren. Niet voordoen.

Ik wil jou nog wel eens horen tegen de tijd dat je 85 bent. Dan pak je alle vernieuwingen gewoon niet zo snel meer op. Tegen die tijd heb je ook al zoveel zien komen en gaan dat je je afvraagt waarom het weer anders moet zonder dat je er werkelijk iets mee opschiet.
Zelf vind ik het wel apart dat heel veel mensen die tegenwoordig claimen technisch vaardig te zijn eigenlijk niets anders doen dan op een knop drukken en zonder enige kennis van wat er dan gebeurt en welke voorwaarden daaraan hangen gebruik maken van diensten die niet alleen doen wat ze denken dat ze doen.
Hoeveel mensen snappen bijvoorbeeld werkelijk wat Google via Android over je te weten komt en hoe ze die data gebruiken.

Je wordt nergens van buitengesloten, je zal gewoon een andere manier moeten vinden om je overheidszaken te regelen. Niemand verplicht je om het online te doen maar als je het online wil doen moet je aan bepaalde dingen voldoen.

Als het goed is, zijn alle diensten nog steeds toegankelijk via telefoon en/of post en/of balie. Daarnaast zorgen gemeenten voor lokale partijen die oa digibeten (maar ook laaggeletterden) kunnen ondersteunen met dit soort processen. Dit gebeurt dan vaak in de bibliotheek, gemeenschapshuis of buurthuis.

Dat gezegd hebbende lijkt het me goed dat de mensen die het digitaal aankunnen, wel het juiste beveiligingsniveau kunnen verwachten.

Waar ik ook achter kwam toen ik een paar weken terug de kwartaalaangifte wilde doen, is dat dat niet meer kan met DigiD. Je kunt als freelancer (in mijn geval) wel met DigiD inloggen om alles in te zien, maar zodra je een aangifte wil doen moet je eHerkenning hebben wat X-euro per jaar kost.

Fijn dat de Overheid ons daar even via een email of brief op attendeert, want nu moest ik me ineens drie slagen in de rondte mailen om het zo snel mogelijk aan te vragen (wat ook niet vlekkeloos verloopt overigens).

Wat ik daar best raar in vindt: DigiD is van de overheid, dus je zou verwachten dat dat met tweestapsverificatie voldoende moet zijn… maar de overheid zelf beslist nu dat dit door een externe organisatie moet worden beheerd via eHerkenning en, jawel, evengoed tweestapsverificatie.

Voor particulier gebruik vind ik dit soort zaken ook steeds minder praktisch worden als ik eerlijk ben. Voor veel mensen die wat ouder zijn wordt het steeds ingewikkelder en onbegrijpelijker op deze manier, en de Overheid heeft de reputatie niet bepaald uit te blinken in gebruiksgemak.

Je kunt als freelancer (in mijn geval) wel met DigiD inloggen om alles in te zien, maar zodra je een aangifte wil doen moet je eHerkenning hebben wat X-euro per jaar kost.

Weet je dat heel zeker? eHerkenning is toch niet voor Zzp'ers?
Ik heb onlangs nog mijn omzetbelasting aangifte gedaan, zonder dat hierbij eHerkenning nodig was.

Kan ook van sector afhangen. Voor aangifte bij de RVO is ook eHerkenning vereist, ik heb het moeten regelen voor iemand met een agrarisch bedrijf.

Helaas weet ik dat redelijk zeker… ik wilde in de 1e week van dit jaar m'n omzetbelasting doen, en kreeg pas na het inloggen bij de Belastingdienst de melding dat ik alleen aangifte kon doen als ik eHerkenning had. Ik kwam er met geen mogelijkheid langs/omheen.

Kan het niet via papieren aangifte dan? Laat ze maar lekker papieren verwerken ipv eHerkenning forceren.

Wellicht is het de ondernemingsvorm dan? Ik heb een eenmanszaak, en ik heb mijn BTW aangegeven door in te loggen met DigiD.

Ik begin hoe langer hoe meer te twijfelen moet ik je eerlijk zeggen… ik wilde het nog even checken door in te loggen op Belastingdienst Zakelijk, maar zie nu een heel andere melding dan wat ik begin januari zag. Dit staat er nu, dus het lijkt er op dat je inderdaad gelijk hebt.

Let op!
Is uw rechtsvorm geen eenmanszaak (maar wel bijvoorbeeld een vof, nv, bv of cv)? Dan staat uw btw-aangifte alleen klaar in Mijn Belastingdienst Zakelijk als u bent ingelogd met eHerkenning. U ziet uw btw-aangifte niet staan als u bent ingelogd met DigiD.

Let op!
Hebt u uw ingestuurde btw-aangifte niet met iDEAL betaald, maar op een andere manier? Dan blijft de iDEAL-betaallink in Mijn Belastingdienst Zakelijk toch zichtbaar - tot enkele dagen na de uiterste betaaldatum. Er is dan niets mis met uw betaling.

Als ZZP'er kan je de kosten voor eHerkenning terug vragen: https://www.zzp-nederland...ijndekostenvaneHerkenning

Dat is héél vreemd, maar toch onwijs bedankt voor de link! Ik heb een eenmanszaak (ZZP'er), maar kon met geen mogelijkheid door met omzetbelasting doen zonder eHerkenning. Ik heb jammer genoeg gelijk voor 3 jaar een eHerkenning afgekocht dus het is nu even pech hebben, maar als het daarna nog steeds zo is als in je link, dan heb ik wel een mooie 'stok' om mee te slaan bij de Belastingdienst. 👍

Ik blijf het bizar en jammer vinden dat SMS nog steeds een optie is, ipv HOTP of TOTP. Zodat je gewoon je eigen app kan gebruiken ipv 1 van de meest onveilige methodes te gebruiken, wat SMS is.

Ik doe het alleen maar via SMS zolang je niet meerdere personen in 1 DIGID app kan plaatsen. SMS werkt tenminste voor meerdere accounts.

Denk dat TOTP nog steeds voor veel mensen een brug te ver is qua gemak en het snappen van het concept. Nu weet ik dat MS en Bitwarden goede apps hebben, maar wordt hoog tijd dat Google ook zo'n makkelijk systeem in Chrome of Android inbouwt o.i.d.

SMS heeft duidelijk nadelen, maar het heeft ook een heel groot voordeel: Je kan je eigen app gebruiken. En dan hoef je geen speciale app te hebben, maar elke dumb phone uit het jaar nul kan een SMS ontvangen. Dat zal een veel grotere groep zijn dan die enkeling die zijn eigen TOTP app liever wil gebruiken.

opzich goed maar die verplichting van een telefoon moeten hebben, en dat dit de enige mogelijkheid is stoort mij wel..
waarom geen support voor security keys?
en wat als je geen toegang tot je 2FA meer hebt? hoe ga je dan nog bij de overheid inloggen als je iets <moet> doen bij de overheid?

Waarschijnlijk hetzelfde als je je digid niet meer weet zoals half Nederland elk jaar in maart/april. Nieuwe codes aanvragen die per ouderwetse post binnen vijf werkdagen verstuurd worden om een nieuwe digid aan te maken.

Zoals aangifte doen van diefstal of verlies van je telefoon?

Die app is overigens nodeloos ingewikkeld in gebruik. Als je bijvoorbeeld op een pc wilt inloggen bij de ING, hoef je alleen de ING-app maar te starten en daar de actie te bevestigen en je bent ingelogd. Niks koppelcode/QR-code. Wat heeft de extra stap met die codes voor zin? Is dat gewoon dom geprogrameerd of burgertje pesten?

Als je wilt inloggen op Mijn ING, dan gebruik je username+wachtwoord+app.
Bij Digid is dat koppelcode+scan QR met app. Het is anders maar niet heel veel moeilijker toch

Daar denkt mijn moeder van 80 toch echt wel anders over.
Vooral digid is erg omslachtig. Ze heeft het al meerdere keren gepresteerd om digid in de app af te melden, waardoor hij niet meer werkt.
Doe gewoon met een popup in de app of een code die iedere keer wijzigt zoals in de google authenticator. Liever niet iedere minuut, wat zo snel is mijn moeder niet meer.

natuurlijk is dit veiliger, maar voor een hoop mensen is dit best wel een uitdaging.
mijn moeder heeft geen kaas gegeten van computers en mobieltjes.
ik heb haar whatsapp ingesteld omdat ze anders nog steeds sms'jes zou sturen, terwijl ze wel gewoon wifi heeft thuis. het liefst zou zij gewoon naar een overheidskantoor gaan en daar de boel in persoon te regelen, maar dat word steeds lastiger. en nu dus nog meer drempels voor haar, en mensen zoals zij

Ik zou graag zien dat de overheid (en dus DigiD) 2FA zou ondersteunen met gebruik van Webauthn/FIDO2. Ik heb sinds kort een hardware token die hier ondersteuning voor heeft en ik kan er bijvoorbeeld mee inloggen op GitHub en GitLab, werkt erg prettig en veilig. De DigiD app heb ik echt geen behoefte voor om te gebruiken (als het even kan installeer ik geen proprietary applicaties) en SMS is onveilig.