SIDN voegt gegevens uit Kamer van Koophandel toe aan IRMA

De Stichting Internet Domeinregistratie Nederland voegt gegevens uit het Handelsregister van de Kamer van Koophandel toe aan identificatiedienst IRMA. Gebruikers van die app kunnen daarmee aantonen dat ze in het Handelsregister staan zonder hun identiteit daarmee prijs te geven.

SIDN schrijft dat het daarvoor de publieke api van de Kamer van Koophandel gebruikt. Daarmee worden gegevens uit het Handelsregister gekoppeld aan IRMA, de app die inmiddels door SIDN ontwikkeld en beheerd wordt. Het Nederlandse bedrijf Signicat gaat het identificatiegedeelte verzorgen.

IRMA is een applicatie waarmee gebruikers bepaalde gegevens kunnen bewijzen aan partijen die normaal daarvoor een identiteitsbewijs willen zien. Voor sommige gegevens, zoals die uit het Handelsregister, is het niet altijd nodig een complete paspoortkopie op te sturen of identificeerbare informatie zoals een geboortedatum af te staan. Voor een bank kan bijvoorbeeld alleen de vraag relevant zijn of een persoon inderdaad een bestuurder bij een vereniging is. In dat geval kan IRMA dat bevestigen zonder te veel gegevens prijs te geven. Op dit moment zijn er nog maar weinig instanties die op die manier met IRMA werken voor identiteitsmanagement.

Volgens SIDN is de nieuwe implementatie van KvK-gegevens een voorloper van wat in de toekomst een digitaal identiteitsbewijs moet worden. Momenteel wordt er vanuit Europa gewerkt aan zo'n digitale identiteitswallet, maar hoe dat eruit komt te zien, is nog niet bekend. Organisaties zoals SIDN hopen nu, voordat die beslissing wordt genomen, al een werkend prototype te presenteren dat mogelijk als blauwdruk voor zo'n wallet kan gelden. "Omdat SIDN als voorloper niet de aankomende (Europese) wetgeving op het gebied van identity wallets wil afwachten, hebben we samengezeten om te kijken wat we nu al kunnen doen", zegt de stichting.

Reacties (37)

[denan]

Wat ik een beetje mis in het verhaal is de echte usecase van een KvK kaartje: Het gaat er volgens mij niet om dat mensen kunnen bewijzen dat ze in de KvK staan zonder hun identiteit prijs te geven. Maar eerder dat iemand kan bewijzen dat hij/zij inderdaad in de KVK opgenomen is bij het opgegeven KVK-nummer. En ook handelsbevoegd is voor die specifieke firma.

Daarvoor linked Signicat je persoonlijke identiteit (uit het BRP) met de KvK registratiegegevens.

Je kunt hiermee dus online bewijzen dat je voor een bedrijf mag tekenen/handelen, zonder dat je uitreksels hoeft te delen of andere (duurdere) oplossingen in moet zetten.

[Bender]

Ik moest even opzoeken wat IRMA is, maar dat is een identificatie app...

Wat heeft dit met de taak van de SIDN te maken vraag ik me af dan?

[denan]

Het is een SSI wallet waarbij privacy voorop staat. Het gaat uit van decentraliteit, unlinkability, privacy by design, selective disclosure (user in control) en het is natuurlijk open source. Dus IRMA zegt niet alleen dat het veilig is, het is ook te valideren. Ontstaan vanuit onderzoek van de Radboud Universiteit (Bart Jacobs) is het nu al een aantal jaar binnen SIDN verder ontwikkeld.

[GertMenkel]

Ik heb hier zelf naar gekeken maar ik vind het hele proces toch behoorlijk gecentraliseerd rond de IRMA services eigenlijk.

Je kunt niet zomaar je eigen kaart maken om toe te voegen, dat moet gecentraliseerd. Je kunt ook niet offline inloggen, authenticatie gaat via de IRMA-server, als die niet bereikbaar is vanaf je backend heb je er niks aan.

Ik ben groot voorstander van de ideeën die IRMA brengt maar deaafhankelijkheid van een centraal registratieorgaan staat me toch wel wat tegen.

[denan]

Je wilt niet zomaar kaartjes met identiteiten kunnen uitdelen, dan zit je bijvoorbeeld ook met BSN issues. Een IRMA gebruiker weet in ieder geval altijd zeker dat de geissuede credentials van een bekende/betrouwbare partij af komen. Natuurlijk zijn er nog opties om dat verder te decentraliseren (bijvoorbeeld door de issuers zelf hun schemes te laten beheren onder de 'trustroot' van het irma scheme) maar er moet een centraal punt zijn wat zegt "dit is de waarheid".

Wat IRMA decentraal maakt is het feit dat transacties plaatsvinden tussen de mobiele telefoon van een gebruiker en een dienstverlener (vragende partij). Daar zit geen centrale infrastructuur tussen en niemand behalve jij (en de vrager) hebben inzicht in de transactie/gedeelde inhoud.

Offline is inderdaad geen optie, bij elke transactie wordt de PIN gechecked op de keyshare server van IRMA. Die check maakt verder geen deel uit van de transactie (IRMA zet er niets van) maar die PIN controle is ter voorkoming van MITM en wat andere eIDAS "high" voorwaarden.

[Reactie gewijzigd door denan op 26 juli 2024 10:20]

[GertMenkel]

Dat kaartjes geverifieerd moeten zijn snap ik. Daar zou een certificaat en een cryptografische handtekening genoeg voor moeten zijn.

Ik vind "decentraal" het verkeerde woord voor een protocol dat via een specifiek domein data uit moet wisselen om te kunnen werken. Zo is WhatsApp ook "decentraal", want Facebook kan niet lezen welke berichten ik stuur.

Verificatie van de PIN snap ik niet, hoe houdt dat MitM tegen? TLS zou daar al voldoende voor moeten zijn, wat gaan vijf cijfers daar voor verschil in maken?

Ik had liever een implementatie gehad die lokaal, via Bluetooth/NFC/WebRTC/kies een protocol de data uitwisselt tussen browser en app.

[Reactie gewijzigd door GertMenkel op 26 juli 2024 10:20]

[denan]

Aangezien jouw berichten via de whatsapp infrastructuur lopen zou ik dat zeker niet 'decentraal' noemen. IRMA heeft geen centrale hub/node waarover al je communicatie loopt. Iedereen kan de IRMAgo software downloaden en als verifier aan de slag gaan (en attributen verwerken). Geen enkele transactie verloopt via de infrastructuur van IRMA.

Die pin verificatie is voor 2fa eisen (wat je hebt -> je telefoon, wat je weet -> je pin) en je pin code 'bind' een gebruiker/telefoon aan een transactie. Meer informatie over de keyshare server is hier te vinden: https://irma.app/docs/keyshare-protocol/. Lees vooral het stuk over de secrets en de TE/TPM. Voor eIDAS "hoog" zijn bepaalde security eisen van kracht. Dit is een van de maatregelen om dat niveau te halen.

[GertMenkel]

Iedereen kan de IRMAgo software downloaden en als verifier aan de slag gaan (en attributen verwerken). Geen enkele transactie verloopt via de infrastructuur van IRMA.

Iedere dienst die met IRMA werkt moet metadata delen met de key servers volgens de link die je deelt:

The price of these advantages is that there is now a single entity that has to cooperate in each IRMA session.

Each IRMA scheme decides whether or not it employs an IRMA keyshare server. If it does, then this keyshare server is involved in any IRMA session that involves attributes that fall under the scheme manager's responsibility.

Nu staat verder op de pagina beschreven hoe je een eigen schema kan opzetten dat geen gebruik maakt van de key server, maar daarvoor zul je wel de hele clientapplicatie zelf moeten bouwen. De normale applicatie zal daar niet mee samenwerken. Je zou een fork kunnen maken die wat vrijer en losser is (bijvoorbeeld door schema's importeerbaar te maken), maar er zijn al zo weinig services die met IRMA werken dat het praktisch nut daarvan nihil is.

In theorie kan dit allemaal wellicht gedecentraliseerd maar zoals het er nu voor staat moét je login via de PBD/SIDN-servers samenwerken om attributen te verwerken.

Wil je attributen aanbieden dan ben je helemaal afhankelijk van de bestaande infra. In tegenstelling tot bij OAuth gaat dat via een "contact us"-pagina en een Github pull request.

Gebruik maken van IRMA kan wellicht decentraal-ish vanuit attribuutverificatieperspectief, maar ik vind de setup van het systeem niet echt heel decentraal, eerlijk gezegd.

[denan]

Iedere dienst die met IRMA werkt moet metadata delen met de key servers volgens de link die je deelt:

Geen idee waar je op doelt, maar de keyshare server maakt geen deel uit van de transacties van een gebruiker. Alleen voor de PIN validatie. Het enige dat de keyshare server wel weet is of attributen opgehaald of gedeeld worden. Niet met wie, wat voor attributen of wat de inhoud is.

Als je doelt op het issuer scheme-> Correct. In het scheme staat een definitie van de issuer (inclusief public key), welk credential men uitdeelt en welke attributen daar onder zitten. Maar ook dit maakt geen deel uit van de transacties; bij starten van de IRMA applicatie wordt het scheme gechecked en, indien nodig, incrementeel geupdate.

Nu staat verder op de pagina beschreven hoe je een eigen schema kan opzetten dat geen gebruik maakt van de key server, maar daarvoor zul je wel de hele clientapplicatie zelf moeten bouwen. De normale applicatie zal daar niet mee samenwerken. Je zou een fork kunnen maken die wat vrijer en losser is (bijvoorbeeld door schema's importeerbaar te maken), maar er zijn al zo weinig services die met IRMA werken dat het praktisch nut daarvan nihil is.

Als het voor test doeleinden is kun je altijd een PR inschieten voor het IRMA demo scheme. Daarmee kun je een aardig eind op weg komen voordat je naar serieuze toepassingen gaat kijken. De vraag is ook wat je wil bereiken/wat je usecase is. Zoals gezegd moet er ergens een 'trust root' zijn. In dit geval is dat een centraal identity scheme wat definieert hoe alles werkt.

In theorie kan dit allemaal wellicht gedecentraliseerd maar zoals het er nu voor staat moét je login via de PBD/SIDN-servers samenwerken om attributen te verwerken.

Sorry, dat is te kort door de bocht. Je moet niet met de servers van PBD/SIDN samenwerken om attributen te verwerken. De keyshare transactie staat los van de transactie tussen jouw lokale IRMA implementatie (om attributen op te vragen) en de gebruiker. Die transactie is iets tussen de mobiel van de gebruiker en onze server, voordat de transactie met jouw omgeving opgezet wordt.

Wil je attributen aanbieden dan ben je helemaal afhankelijk van de bestaande infra. In tegenstelling tot bij OAuth gaat dat via een "contact us"-pagina en een Github pull request.

Gebruik maken van IRMA kan wellicht decentraal-ish vanuit attribuutverificatieperspectief, maar ik vind de setup van het systeem niet echt heel decentraal, eerlijk gezegd.

De transacties zijn decentraal, de infra heeft inderdaad centrale componenten die niet in de transactie zitten (het kan niet vaak genoeg gezegd worden ). Die centrale componenten zijn toch echt een *must* voor eIDAS hoog. Wat wel een leuke optie blijft is het lokaal hosten van een scheme door een issuer.

Groot verschil tussen IRMA en andere oplossingen is wel dat bij IRMA de verifying party niet beperkt/controlled is en ook niet via onze infra loopt. Bij andere partijen is er vaak een centrale infra die transacties verwerkt -of- mag je pas attributen opvragen indien je op een 'trusted verifier' lijst staat.

In de praktijk komt het er dan ook op neer dat als iemand IRMA wil gebruiken in zijn/haar proces het een kwestie is van de source downloaden, deployen en starten.

[lenwar]

Dan nog blijft de vraag: Waarom vanuit de Stichting Internet Domeinregistratie Nederland.
Wat mij betreft valt een dienst alles door buiten hun redelijke doelstelling?
Ik weet dat ze nog meer doen natuurlijk, maar ze lijken wel erg ver buiten hun oorsprong te stappen.

[denan]

Daarvoor kun je het beste naar het jaarverslag en de missie van SIDN kijken. Ze doen veel meer, o.a. onderzoek met SIDN labs (https://www.sidnlabs.nl/), meewerken aan future internet projecten (SCION), het SIDN fonds (https://www.sidnfonds.nl/), promotie van nieuwe standaarden, het beschermen en informeren van internet gebruikers, etcetc.

[lenwar]

Zoals ik al schreef. Ik weet dat ze veel meer doen. Maar een standaard voor een identificatiedienst voelt erg afwijkend van de rest.

[denan]

IRMA is meer dan de techniek en de oplossing. Het is een PoC / bewijs dat het ook anders kan. Wat je ziet is dat veel van de waarden van IRMA nu meegenomen zijn in de EU wallet. IRMA is zelfs als voorbeeld genoemd in de tech analyse van de EU, naast de poolse MobyWalet. Ook heeft SIDN met PbDF zich sterk gemaakt om de waarden achter IRMA uit te dragen en bij de NL overheid (en de EU) tussen de oren te krijgen.

Zonder oplossingen als IRMA zaten we nu nog steeds in een closed source omgeving waarbij big tech de dienst uit zou maken. Vanuit die positie zie ik de link met SIDN erg duidelijk. Maar.. ik heb natuurlijk een gekleurde mening

[Reactie gewijzigd door denan op 26 juli 2024 10:20]

[lenwar]

De sales pitch is zeer informatief en bondig bedankt daarvoor (serieus bedoeld!!)

Ik spreek het het nut en de zin van IRMA ook tegen hè? (( al zie ik het nergens in het wild in gebruik ))
Ik zie alleen die link met SIDN dan nog altijd absoluut niet.

[denan]

Het internet en digitale identiteit zijn niet meer los van elkaar te zien, evenals internet en security. Daar zit (imho) de link.

[lenwar]

Allicht. Mogelijk wat liberaal geïnterpreteerd, maar er is inderdaad natuurliljk wat voor te zeggen.

Persoonlijk zou ik dit soort zaken liever bij overheden houden. (en in ons geval bij voorkeur Europees, zodat we in de hele EU in elk geval dezelfde mechanisme kunnen aanhouden).

Zo vind ik dat hele iDIN systeem ook maar vaag. Ik snap dat de banken het kunnen, aangezien zij al een bepaalde verantwoordelijkheid hebben riching diezelfde overheden en ook banken doen natuurlijk aanzienlijk meer dan alleen maar geld op en neer schuiven en beheren, maar ook daar heb ik een beetje dubbele gevoelens over.

[denan]

Wat betreft standaarden.. zeker. Maar (persoonlijke mening) ik zou niet willen dat de overheid (of: overheden) in de loop zitten bij elke transactie die ik uitvoer. Ook in de ARF zie je toch centrale componenten (en: geen unlinkability) die ik persoonlijk niet zou willen zien bij de transacties die ik uitvoer.

(https://digital-strategy....ference-framework-outline)

[lenwar]

Uiteraard, maar implementatie staat daar natuurlijk los van. (( ook even los van wat de overheden op dit moment hebben bedacht )).
Als het gaat om identificatie/verificatie moet de bron natuurlijk volkomen absoluut zijn en dat is waar de overheden erbij te pas komen. Wat mij betreft wordt het vervolgens door een derde partij uitgevoerd.


Om het klassieke voorbeeld van de slijter te pakken wordt het iets van:
Digid --> Derde partij --> Slijter
Digid (of een andere overheidsmechanisme) weet alleen dat er 'een verificatie' plaatsvindt. Derde partij regelt de rest (volgens concepten van minimale data, eventueel een extra derde partij, enz, enz, enz)
(( uiteraard heel kort door de bocht, maar je snapt m'n algemene intentie ))

[DarkForce]

Mwah ik denk dat je het sowieso al moet zoeken in de woorden die hij kiest, namelijk:
Stichting Internet Domeinregistratie Nederland

Alleen staat SIDN niet meer voor Stichting Internet Domeinregistratie Nederland maar is het veel breder en hebben ze de afkorting gewoon aangehouden. Als je kijkt in de Algemene Voorwaarden, Privacy Statements etc. dan kom je ook niets meer tegen omtrent Stichting Internet Domeinregistratie Nederland.

SIDN is dus eigenlijk het zelfde als SNS, gewoon een paar hoofdletters uit het alfabet wat eigenlijk niet staat voor één of andere (vage) afkorting.

[DarkForce]

Waarom vanuit de Stichting Internet Domeinregistratie Nederland.

Dit is niet vanuit Stichting Internet Domeinregistratie Nederland maar vanuit SIDN.

SIDN stond OOIT voor Stichting Internet Domeinregistratie Nederland maar al een aantal jaar is daar geen sprake meer van. De tijd waarin SIDN alleen stond voor Stichting Internet Domeinregistratie Nederland ligt alweer enige tijd achter ons.

[lenwar]

https://www.sidn.nl/downl...registratie_Nederland.pdf

Jij zegt het…
Zoals ik al schreef weet ik dat ze veel meer doen dan hun oorsprong, maar dit voelt als een onverwachte koppeling voor mij.
Het is geen waardeoordeel hè?

Het voelt net zo gek als dat Netflix nu spelletjes aan het maken/uitgeven is. (( wat natuurlijk ook aan de gang is ))

[f.h]

Overigens kreeg ik zojuist bij het openen van de IRMA app op mijn iPhone de melding dat IRMA binnenkort omgedoopt wordt tot Yivi. Echter kan ik daar weer geen 'persbericht achtig' bericht van vinden online. Behalve een een nieuwsbrief uit november 2022 in .doc op de website van SIDN.

[denan]

Die komt binnenkort.

IRMA heeft al best een aardige bestaande userbase (vooral in gemeenteland / inwoners en zorginstituten / patienten en zorgverleners. We hebben ervoor gekozen om nu al in de app een melding te tonen aangezien niet iedereen de app maandelijks gebruikt.

[f.h]

n=1

Dan heeft die keuze in mijn use case goed uitgepakt

[n4m3l355]

Dit zou eigenlijk overal standaard moeten worden toegepast en het zou aan apps/websites de keus moeten zijn of ze daarin meegaan. Neem Facebook, ik heb er geen moeite mee dat ze mijn data verkopen maar ze zouden op voorhand de vraag naar data op tafel moeten leggen of alternatief reken mij maar een abbo. Idem hier op tweakers, ze willen graag een kwalitatief goede user profiel voor advertising, wederom leg die vraag maar bij mij met als alternatief dat ik een abbo afneem. Zo wordt het een stuk transparanter wat er met onze data gebeurd.

[EnigmaNL]

https://www.sidn.nl/online-identity/irma-powered-by-sidn

[GekkePrutser]

Ik ben niet blij met systemen als IRMA. Ja, het maakt het een stuk privacyviendelijker om je data te delen. Maar, het is daarmee ook drempelverlagend.

Momenteel hoef je bij het opzetten van een Facebook account bijvoorbeeld geen ID in te sturen, dat vragen ze alleen als je duidelijk een valse naam gebruikt. Als ze het iedereen zouden vragen, dan zouden veel mensen gewoon geen account maken. Omdat het een grote stap is om een privacyschender als Facebook je ID kaart te sturen.

Op het moment dat het op een veiligere/beperktere manier kan, dan is het veel makkelijker voor van die sites als Facebook om je identiteit te vragen, want veel minder mensen zullen dat als een bezwaar zien. En kunnen zelfs sites als Tweakers erover gaan denken, Tweakers heeft bijvoorbeeld een bepaling dat je maar 1 account mag hebben en je mag ook geen nieuw account aanmaken als je je oude gesloten hebt. Dat kunnen ze nu niet afdwingen.

Al met al gaat door dit soort wallets de anonimiteit op internet de prullenbak in, en dat vind ik een heel slechte zaak. We worden al teveel getrackt. Ik vind anonimiteit een groot goed.

[Reactie gewijzigd door GekkePrutser op 26 juli 2024 10:20]

[bwerg]

Al met al gaat door dit soort wallets de anonimiteit op internet de prullenbak in, en dat vind ik een heel slechte zaak.

Grappig dat je dat als nadeel noemt, want het hele concept van IRMA is nou net dat je persoonsgegevens kan overdragen terwijl je toch anoniem blijft.

Ik vraag me af elke website zomaar van iedereen de naam mag gaan vragen. Naast de technische middelen zijn er ook nog steeds juridische eisen.

[GekkePrutser]

Hoe kan je nou persoonsgegevens overdragen en anoniem blijven? Wat je overdraagt heeft de tegenpartij.

Het voordeel van IRMA is dat ze hierbij geen gegevens vangen die je niet over wil dragen. Zoals bij een foto van ID krijgen ze je Sofi nummer, foto enz, terwijl ze alleen je naam willen weten.

Het enige geval waarbij je iets overdraagt en anoniem blijft is als het om iets niet identificeerbaars gaat, zoals het zijn van 18+. Echter ook in dat geval zie ik veel liever een tickboxje om aan te klikken dan dat ik me echt met een app moet verifiëren. Zoiets is toch nooit waterdicht en ik wil ook niet dat dat het wordt.

Maar bedrijven met een real name policy hebben gewoon een recht om je naam te vragen, ook binnen GDPR. Dat ze het nu niet controleren is puur door die drempel.

Mijn schrikbeeld is als je straks op elk forum of nieuws site met dat Irma in moet loggen. Meerdere accounts voor 1 persoon kan je dan bijvoorbeeld vergeten.

Het is ongetwijfeld beter dan die EU Digital wallet rotzooi die Thierry Breton loopt te pushen. Maar ik wil helemaal geen legitimatie op internet zien. Ja, er zijn sites die er echt belang bij hebben zoals de overheid, maar die hebben al gewoon DigiD. Legitimatie vragen moet iets 'lastigs' blijven, anders wil iedereen het gaan doen.

[Reactie gewijzigd door GekkePrutser op 26 juli 2024 10:20]

[denan]

Eens, we worden veel te veel getracked en 'overvraging' is een continu gevaar. Dan ben ik persoonlijk van mening dat oplossingen die dat beperken een streepje voor hebben.

Verder gaan dit soort oplossingen verder dan "ik log in bij een webshop" . Het online valideren van je identiteit voor transacties/handels-acties, evenals je tekenbevoegdheid, heeft in de steeds verder digitaliserende wereld een groter wordend belang.

[Piemol]

Ik denk dat @GekkePrutser doelt op het feit dat door de lage drempel meer sites om verificatie gaan vragen. Zo geef je in totaliteit uiteindelijk meer prijs dan nu, en dat is helemaal vervelend met bedrijven als Meta die overal hun tracking hebben. Als jij Meta niet je leeftijd hebt gegeven (puur als voorbeeld) maar ze tracken jou wel op een 'mijn account' pagina van een 18+ site waar jij dat wel heb laten verifiëren.... Combineren van meerdere, kleinere, maar gevalideerde!, datastromen.

[GekkePrutser]

Precies, dat is mijn punt. Het werkt drempelverlagend waardoor het in de praktijk vaker gedaan zal worden.

[denan]

Klopt. En dat is precies de reden dat IRMA altijd een bepaalde "frictie" blijft hebben in de UX. Het is veel gebruiksvriendelijker om alles naadloos te laten werken en bij een login alles voor een gebruiker te regelen. In de praktijk haal je daarmee wel het inzicht weg in wat er gebeurt.

Dus IRMA kiest er bewust voor om een gebruiker te confronteren en te informeren over wat er allemaal gebeurt. Verder zijn er natuurlijk wel wettelijke kaders om te voorkomen dat partijen data opvragen waar ze geen recht op hebben. In de praktijk zie je alleen dat dat niet altijd voldoende is.. vandaar bovenstaande frictie.

Een oplossing voor elk probleem bestaat niet, maar de kernwaarden van IRMA (ook toegepast in andere producten) zijn een goede eerste stap.

[soundvision]

Ik was al in de war met het systeem van KPN. Die gebruiken ook IRMA.

[Guneyd]

Haal je iets niet door elkaar? KPN heeft in het verleden aan andere pilots meegedaan zoals Idensys geloof ik, geen IRMA.

[Insomnia1988]

Routit's beheer portal heette ook IRMA maar dat is overgenomen door KPN ik denk dat hij dat bedoelt.

[Rossi]

Klopt, dat was ook het eerste waar ik aan moest denken.

IRMA is het beheerportal voor diensten van RoutIT voor MSP's. Je kan hier (bijna) alle diensten van RoutIT op het gebied van internet, VOIP, etc bestellen en aanpassen, en facturen inzien, etc..

Dat RoutIT is overgenomen door KPN klopt, maar het systeem is het meest bekend door RoutIT.