Verplichte multifactorauthenticatie Mijn toeslagen uitgesteld

De Nederlandse Dienst Toeslagen stelt het verplicht inloggen via de DigiD-app of sms-controle voor Mijn toeslagen en de Kinderopvangtoeslag-app uit voor onbepaalde tijd. Voorlopig blijft het mogelijk om in te loggen met enkel een gebruikersnaam en wachtwoord.

Op de website van de Belastingdienst is te lezen dat er meer tijd nodig is om de overstap goed te laten verlopen. Inloggen via de DigiD-app of sms-controle is al langer mogelijk, maar gebruikers kunnen er op dit moment ook voor kiezen om enkel met gebruikersnaam en wachtwoord in te loggen.

Eind vorig jaar kondigde Dienst Toeslagen aan dat multifactorauthenticatie vanaf 1 januari 2024 verplicht zou worden om in te loggen in Mijn toeslagen. Nederlandse burgers kunnen via Mijn toeslagen onder meer zorgtoeslag, huurtoeslag en kinderopvangtoeslag aanvragen, wijzigen en stopzetten.

Update, 19.45 uur: Dienst Toeslagen maakt geen onderdeel meer uit van de Belastingdienst, maar is een zelfstandig onderdeel binnen het Nederlands ministerie van Financiën. Het artikel is aangepast.

Reacties (98)

[sircampalot]

MFA op overheidsdiensten is prima, maar zodra ze verplicht worden komt er wat mij betreft een groot probleem om de hoek kijken.
Voor MFA ben je afhankelijk van een dienst, geleverd door een privaat bedrijf. Je MOET dus zo'n dienst afnemen, anders kan je bijv je belastingzaken niet regelen.
Iemand die zijn belasting niet betaald, gaat uiteindelijk naar de gevangenis.

Daarmee zou het de tweede verplichting worden tot het afnemen van een private dienst, de eerste is namelijk een bankrekening.

Voorheen was er de postbank, een staatsbank, en deze had TAN-codes, die werden op papier per post naar je toegezonden.

Kom maar op met die -1.

[Reactie gewijzigd door sircampalot op 23 juli 2024 13:15]

[Blokker_1999]

Voor goede, correcte MFA hoef je helemaal niet afhankelijk te zijn van een dienst van een privaat bedrijf. En wanneer je kiest voor het gebruik van DigiD dan blijf je heel de tijd bij de overheid daar Logius onderdeel is van het ministerie van Binnenlandse Zaken. Zelf zie ik voor dit soort diensten liever gewoon een standaard TOTP als MFA factor, iets wat in Belgie trouwens wel mogelijk is. Ik kan bij de Belgische overheid aanmelden met gebruikersnaam, wachtwoord en een TOTP token op mijn authenticator applicatie naast het gebruik of kiezen voor de eID als het toestel een kaartlezer heeft daar de eID ook een vorm van MFA is.

[stuffie123]

"mijn authenticator applicatie"?

Van wie is die app echt? Microsoft? Google?

[The Zep Man]

Van wie is die app echt? Microsoft? Google?

Van mij. TOTP kan je zelf implementeren. Als dat een stap te ver is voor een tweaker zijn er voldoende opensource applicaties die het kunnen. Overige burgers kunnen gewoon gebruiken wat voor hen toegankelijk is. Dat is nog steeds veiliger dan enkel een wachtwoord.

Het punt is niet dat de burger commerciële diensten gebruikt voor digitale communicatie met de overheid. Het punt is dat de burger gedwongen wordt om specifieke commerciële diensten van een beperkt aantal bedrijven te gebruiken.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 13:15]

[deadinspace]

"mijn authenticator applicatie"? Van wie is die app echt? Microsoft? Google?

Er zijn legio applicaties die TOTP authentication implementeren, zie bv Wikipedia: Comparison of OTP applications.

Om met TOTP tokens te kunnen authenticaten hoef je dus geen gebruik te maken van software van bv Microsoft of Google.

Ikzelf gebruik de open source 2FAS android app, en ben daar heel tevreden mee.

[The Zep Man]

Zelf zie ik voor dit soort diensten liever gewoon een standaard TOTP als MFA factor, iets wat in Belgie trouwens wel mogelijk is. Ik kan bij de Belgische overheid aanmelden met gebruikersnaam, wachtwoord en een TOTP token op mijn authenticator applicatie naast het gebruik of kiezen voor de eID als het toestel een kaartlezer heeft daar de eID ook een vorm van MFA is.

TOTP en WebAuthn zijn de twee open en vrij te implementeren factoren die een overheid zou moeten ondersteunen. En voor elektronische post van de overheid zou een burger de mogelijkheid moeten hebben om een PGP public key te uploaden, zodat mail versleuteld (en ondertekend door de overheid) verstuurd wordt, direct naar de mailbox van de betreffende burger.

Dit kan allemaal bestaan naast huidige oplossingen. Zelfs als alleen tweakers het gebruiken, voorkomt het dat de overheid exclusief afhankelijk wordt van specifieke commerciële partijen.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 13:15]

[SirBlade]

Met de berichtenbox is er bewijs van ontvangst en lezen, email (encrypted of niet) of zelf een aangetekende brief kunnen dat niet.

[The Zep Man]

Met de berichtenbox is er bewijs van ontvangst en lezen,

Is dat het doel? Want er wordt ook gewoon nog ouderwetse post zonder bewijs van ontvangst verstuurd als een burger geen berichtenbox gebruikt.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 13:15]

[SirBlade]

Nog wel. Maar op de middelange termijn natuurlijk niet meer. Vroeger of later gaat alle communicatie digitaal.

[Kurios]

In veel gevallen gebeurt dat omdat dat verplicht is in de wet.

[jaapzb]

Mooi zo houden

[Martijntjeh]

Eens. S/mime zou eventueel ook een optie zijn.

[The Zep Man]

Als extra optie: eens. Met S/MIME ben je afhankelijk van CA's. Daarom liever niet als enige optie om e-mailcommunicatie te beveiligen.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 13:15]

[Bem]

Ik kan bij de Belgische overheid aanmelden met gebruikersnaam, wachtwoord en een TOTP token op mijn authenticator applicatie

Het probleem bij een TOTP token in je authenticator applicatie is nou juist dat het geen MFA meer is. Je wachtwoord, username en TOTP staan op dat moment op dezelfde plek opgeslagen.

[deadinspace]

En hoe is dat anders voor SMS-verificatie op je telefoon waar ook wachtwoord en username zijn opgeslagen?

Of bij het gebruik van bv de DigiD app met gekoppelde credentials op je telefoon?

De veilige manier is natuurlijk om je telefoon alleen gebruiken voor SMS of TOPT verificatie, en daar niet de username en wachtwoord op te slaan, maar dat op een laptop oid te doen. Dat is ook hoe ik het doe, heb ook weinig behoefte aan DigiD zaken regelen op mijn telefoon eigenlijk.

[CyBeR]

Dat is wél MFA, want het punt is niet dat die gegevens op aparte plekken staan maar dat er twee (of meer) factoren gebruikt worden voor de authenticatie.

In het geval van TOTP betreft dat je gebruikersnaam/ww en een cryptografische pre-shared key. De eerste factor, je gebruikersnaam/ww zijn, als ze onderschept zouden worden, herbruikbaar. De tweede factor is een willekeurig gegenereerde key die je in je authenticator-app opslaat (en geheim houdt), en die vervolgens gebruikt wordt om een zescijferige code te genereren die elke 30 seconden verloopt.

Waar je die gegevens opslaat is niet van belang. Het belangrijke is dat ze in samenwerking gebruikt worden om elkaar te versterken. Een zescijferige TOTP code is op zichzelf niet heel sterk, zelfs niet met een verloop van 30 seconden. Een wachtwoord is te onderscheppen en dus op zichzelf niet bestand tegen gegevensdiefstal. Samen echter maken ze een sterke combinatie die het onderweg onderscheppen van je gegevens (middels mitm's, keyloggers, wachtwoord afkijken., per ongeluk in een email pasten, etc.) nagenoeg nutteloos maakt.

[Reactie gewijzigd door CyBeR op 23 juli 2024 13:15]

[My Tec Master]

Zit zeker waarheid in je commentaar. In Nederland regelt Logius gelukkig de MFA app. In Italië heb je een SPID , af te nemen bij een commerciële partij tegen betaling. Te gebruiken net als digid. Ja je kan ook inloggen met je id kaart maar dat werkt niet altijd. Dit moet wat mij betreft altijd gratis zijn en niet bij een commerciële partij

[dimdek]

De Logius app voor Android is afhankelijk van GSF. Dat betekent dat het dus code en diensten van Google gebruikt en dat er niets meer prive is aan je appgebruik ook al is Logius een overheidsbedrijf.
Ik vind het krankzinnig dat burgers worden gedwongen om hun data te delen met Google of (als ze meer budget beschikbaar hebben) met Apple.

[Yggdrasil]

Helaas is dat in NL ook het geval voor eHerkenning, de Digid voor bedrijven. Verplicht te gebruiken maar wel betalen via commerciële organisaties.

[RoestVrijStaal]

Voorheen was er de postbank, een staatsbank, en deze had TAN-codes, die werden op papier per post naar je toegezonden.

Helaas ben je tegenwoordig in het geval van zaken "per post" doen ook afhankelijk van een privaat bedrijf

[dimdek]

Maar dat private bedrijf heeft dan in ieder geval niet de beschikking over waar je 24h per dag uithangt, wat je bezig houdt en met wie je communiceert.

[herpiederpienow]

Niets -1, je hebt namelijk een valide punt. Het is niet de taak van de overheid om mensen te stimuleren bepaalde commerciële diensten af te nemen of producten te kopen door middel van indirecte reclame.

Er moet een fatsoenlijk alternatief zijn zonder gebruik te hoeven maken van commerciële producten of diensten, anders maakt de overheid zich afhankelijk van deze commerciële partijen waar ze te weinig invloed op hebben.

Dat is één ding, maar wat dacht je van burgers die helemaal niet om kunnen gaan met deze technologie of deze simpelweg niet kunnen bekostigen? Het gaat hier specifiek om mensen die gebruik willen maken van toeslagen die men enkel krijgt met een beperkt inkomen.

Gelukkig hebben we nog een aantal staatbanken in Nederland, maar dat is helaas niet gewenst. Bovendien hebben we helaas ook een verzekeringsplicht voor bijvoorbeeld ziekenkosten bij commerciële partijen.

[the-body]

Welke private dienst gebruik ik dan als ik de DigiD app op mijn telefoon gebruik, die van de overheid is?

[locke960]

Google. Apple. Een mobiele provider. Telefoon fabrikant.
Tenzij jij een manier weet om de DigiD app te laten werken zonder iets af te nemen van deze partijen?

De vraag is of het redelijk is dit van elke burger te eisen.
Ik vind dat we best wat mogen eisen van burgers, maar gedongen winkelnering bij Google of Apple vind ik eigenlijk te ver gaan. Op die manier promoot je als overheid de instandhouding van een duopolie.

Wat mij betreft moet de overheid een alternatief ter beschikking stellen dat net zo makkelijk werkt, zonder (afschrikkende) hoge kosten voor de burger.

[Reactie gewijzigd door locke960 op 23 juli 2024 13:15]

[Hielko]

Nou poeh, en bedenk nu eens allemaal wat voor enge private bedrijven je nodig hebt als je niet via je telefoon communiceert. PostNL voor bezorgen brieven. Fabrikant van briefpapier. Enveloppen. Pennen. Winkels die deze dingen verkopen. etc. etc. En zoiets kan je ook opschrijven als je telefonisch bereikbaar wilt zijn. Of gewoon ergens fysiek in Nederland.

[locke960]

Het gaat hierom:
Mobiele telefoons:

• duur in aanschaf
• maandelijkse kosten
• Geen keuze met wie je zaken doet (het is Google of Apple)
• 100 manieren om je privacy te schenden.

Via de post:

• Lage kosten, alleen als je het gebruikt.
• honderden leveranciers voor je benodigdheden.
• inderdaad, slechts 1 Post NL, maar die hebben briefgeheim, die kunnen niet legaal je privacy schenden.
• Het is praktisch niet uitvoerbaar om op grote schaal privacy te schenden.

Het is een principieel punt dat de overheid geen gedwongen winkelnering op zou moeten leggen, gedeeltelijk vanwege de kosten, maar vooral ook dat omdat het gaat om notoire data-slurpers met dwingende voorwaarden voor het gebruik van hun diensten.

Dat betekent niet dat ik vind dat we weer terug naar de post moeten. Het mag best iets kosten, maar dan moet je wel kunnen garanderen dat iedereen die diep in de financiële problemen zit nog steeds toegang heeft.
En er zijn ook prima alternatieven voor MFA waarvoor je geen mobiele telefoon nodig hebt, maar die kosten de overheid tijd en geld.

[supersnathan94]

Het gaat hierom:
Mobiele telefoons:
duur in aanschaf
maandelijkse kosten
Geen keuze met wie je zaken doet (het is Google of Apple)
100 manieren om je privacy te schenden.

Hoezo? Een prepaid lebara kaartje in een nokia uit het jaar kruik kost praktisch gezien heel weinig en is ook in staat sms codes te ontvangen. Je hoeft geen smartphone te gebruiken voor verificatie he.

Edit. Je hebt trouwens een mobiel nummer nodig om digid überhaupt te kunnen aanmaken.

[Reactie gewijzigd door supersnathan94 op 23 juli 2024 13:15]

[hcQd]

Kan ook met een vast nummer, dan wordt de code uitgesproken.

[aikebah]

Laatste keer (lang geleden) dat ik die een keer ervaren heb... was gesproken SMS een draak... te snel gesproken, geen mogelijkheid tot herhalen van het bericht. Veel succes als je daar als slechthorende afhankelijk van wordt.

[FrostyPeet]

De kans bestaat dat de Nokia uit het jaar kruik, zoals jij dat noemt, nog 2G gebruikt. Enkele providers hebben dat al uitgezet, de anderen gaan dat uitzetten. Je zal een mobiel moeten hebben die de moderne "G" standaard gebruikt.

Prepaid aanbieders kunnen na 3, 6, 9 of 12 maanden niet gebruiken het 06-nummer pauzeren of beëindigen. Let daar op als je de mobiel alleen voor sms-verificatie gebruikt en die lang ongebruikt in de kast legt.

[supersnathan94]

Mja 2G zal niet meer lukken maar een dumb phone van nu kan natuurlijk ook. Een nokia 105 4G is €33 bij de mediamarkt en via belsimpel zelfs €15.

[CAPSLOCK2000]

Hoezo? Een prepaid lebara kaartje in een nokia uit het jaar kruik kost praktisch gezien heel weinig en is ook in staat sms codes te ontvangen. Je hoeft geen smartphone te gebruiken voor verificatie he.

Zo'n telefoon die zo vol beveiligingsgaten zit dat niemand die nog zou moeten gebruiken?
Dat ga je toch niet gebruiken als beveilingsapparaat?
Dat er SMS-verficatie gebruikt wordt is al erg genoeg.

En zo'n domme telefoon is wel goedkoop maar nog steeds niet gratis. Als je je geen smartphone kan permitteren (ok, dat zullen er niet veel zijn) dan is een paar tientjes voor een dumphone ook al (te) veel geld*.

Als je er dan toch geld aan uitgeeft dan zullen de meeste mensen liever een smartphone kopen. Voor datzelfde geld zou je veel meer functionaliteit kunnen krijgen in een smartphone, maar dat gaat dan wel ten koste van je veiligheid en privacy.
Je kan zeggen dat mensen dan maar moeten kiezen voor hun privacy en een moderne dumphone kopen (ze worden nog steeds gemaakt) die wel veilig is. Dus dan zeg je eigenlijk dat privacy alleen voor rijken is. Ik chargeer een beetje, maar het komt dus eigenljk neer op kiezen tussen geld/toeslagen en privacy.
Dat is niet echt een vrije keuze. Als het zou gaan om een website met een cookiewall dan zou de AVG zo'n regeling afkeuren bij gebrek aan vrije keuze.

Privacy is een luxe, dat zou niet zo moeten zijn, maar de prijs wordt steeds hoger.

Edit. Je hebt trouwens een mobiel nummer nodig om digid überhaupt te kunnen aanmaken.

Dat maakt de situatie niet beter.*


* Ik wil nog even toevoegen dat ik me hier heel principieel opstel.
Pragmatisch gezien kun je heel veel van de bezwaren wegnemen door een fatsoenlijke telefoon te subsidieren voor mensen die dat nodig hebben. Ik ga er van uit dat veel gemeente dat al doen.

Wat overeind blijft is dat mobiele telefoons niet erg privacyvriendelijk zijn. De dure doen het iets beter dan de goedkope maar bijna allemaal hebben ze privacy & security issues, nu of na verloop van tijd.

Zelf ben ik wel fan van hardware-otp devices, zoals de "readers" die sommige banken hebben/hadden.
Die dingen doen niks anders dan codes genereren en hoeven geen netwerkverbinding te hebben. Dat is niet de allergoedkoopste oplossing maar wel een die echt onafhankelijk, veilig en privacyvriendelijk is.

[sircampalot]

Een tan-code lijst ontvangen via de post, kost de ontvanger niets.

[Jean-Paul.nl]

Ook als je compleet aan de grond zit, moet je, je zaken met de overheid kunnen regelen. Al is het met je slaapzak naar een gemeentehuis.

[Anoniem: 302359]

Nou poeh, en bedenk nu eens allemaal wat voor enge private bedrijven je nodig hebt als je niet via je telefoon communiceert. PostNL voor bezorgen brieven. Fabrikant van briefpapier. Enveloppen. Pennen. Winkels die deze dingen verkopen. etc. etc. En zoiets kan je ook opschrijven als je telefonisch bereikbaar wilt zijn. Of gewoon ergens fysiek in Nederland.

Je hoeft PostNL niet te gebruiken; je kunt die brief ook zelf naar de bestemming brengen en daar door de brievenbus gooien. Het probleem is dat je deze app van een privaat bedrijf moet gebruiken, omdat er straks geen alternatief meer is.

De overige voorbeelden, zoals het aanhalen van de fabrikant van briefpapier, enveloppen en pennen, zijn echt kulargumenten. Je bent wel erg aan het reiken om een punt te maken. Het slaat werkelijk nergens op.

[Reactie gewijzigd door Anoniem: 302359 op 23 juli 2024 13:15]

[Hielko]

Als je het zelf daar door de brievenbus moet gooien zal je er toch ook moeten komen. Heb toch vast een fiets nodig, een auto, openbaar vervoer etc. Of minimaal kleding en je schoenen. Je kan wel raden dat je ook daar al helemaal afhankelijk bent van een private partijen... en ja, dat kan je wel kulargumenten vinden, maar waarom? Je bent in alle facetten van je leven afhankelijk van private bedrijven. Maar als het om een stukje techniek om te communiceren met de overheid gaat mag dat ineens niet meer?

[Anoniem: 302359]

Als je het zelf daar door de brievenbus moet gooien zal je er toch ook moeten komen. Heb toch vast een fiets nodig, een auto, openbaar vervoer etc. Of minimaal kleding en je schoenen. Je kan wel raden dat je ook daar al helemaal afhankelijk bent van een private partijen... en ja, dat kan je wel kulargumenten vinden, maar waarom? Je bent in alle facetten van je leven afhankelijk van private bedrijven. Maar als het om een stukje techniek om te communiceren met de overheid gaat mag dat ineens niet meer?

Sla je de plank zo niet een beetje mis? Je focust niet op het juiste punt van de discussie. Als ik een fiets of een van de andere voorbeelden die je aanhaalt koop, dan kan ik dit nog steeds volstrekt anoniem doen. Er wordt geen data van mij als persoon vastgelegd, ik betaal de winkel contant en loop naar buiten met een fiets. Het gaat niet om het punt dat je een privaat bedrijf nodig hebt, het gaat erom wat dit bedrijf van jou weet. Google weet dondersgoed wie jij bent als je hun authenticator gebruikt en ze zien ook prima voor welke diensten jij die authenticator geregistreerd hebt en wanneer je deze gebruikt. Gezien de gigantische persoonsgegevensverzameldrift van deze bedrijven willen steeds meer mensen er niet toe verplicht worden om iets van hen te moeten gebruiken. Helemaal niet als het om overheidszaken gaat. Hoe vaak zien we niet dat er weer gegevens gelekt en massaal doorverkocht zijn aan louche partijen?

[Reactie gewijzigd door Anoniem: 302359 op 23 juli 2024 13:15]

[SirBlade]

En verwacht je ook dat een ambtebaar persoonlijk het antwoord bij je komt bezorgen? Anders is het net zo nutteloos uit privacy oogpunt zelf mail hosten en vervolgens een mail sturen naar iemand die het via gmail leest.

[memphis]

Moet je wel een app hebben dat op je telefoon werkt. Hoeveel ouderen lopen niet rond met een zgn senioren telefoon of helemaal geen telefoon?

[W00fer]

Staatsbedrijven zijn geen eigenaar meer van communicatiediensten. Al sinds 2006 niet meer.
Ook in Vlaanderen heeft Liberty Global inmiddels Telenet. Ik snap je punt maar het punt om er iets aan te doen ligt ver achter ons. In dagelijkse kosten voor levensonderhoud zit nu eenmaal ook het timmeren van een brievenbus in je huis of op je oprijlaan waar je post ontvangt van een private partij (PostNL).

Als jij eerst 3 dagen (want PostNL levert niet meer op tijd helaas) op een stel TAN codes voor je kunt inloggen gaat het leven wel lang duren.

[dimdek]

Ik vind het wel grappig dat ik het tijdperk voor de massale digitalisering en die van nu kan vergelijken. Ik zeg niet dat alles toen beter was en ik gebruikte zoveel mogelijk digitale middelen. Inmiddels zijn we zo erg doorgeschoten dat mensen denken dat het niet meer zonder zou kunnen en dat het zelfs niet meer zonder zou moeten mogen. Als je bedenkt dat de meeste banken nog steeds ruim twee maanden (sommige zelfs drie) nodig hebben om je een jaarafschift te kunnen geven (en dat wordt gewoon geaccepteerd), dan hoeft het versturen van een brief die er drie dagen over doet volgens mij geen groot probleem te zijn. Het probleem is meer dat door de digitale middelen veel mensen vergeten te plannen en alles ad-hoc doen. Dan komt er plots heel veel hsst bij kijken.

[W00fer]

Sterker nog, ABN AMRO is al bezig de website uit te faseren. Je kunt op hun internetbankieren website op de computer steeds minder, waarbij ze vereisen dat je bepaalde zaken in de app doet.
Dus het volgende tijdperk is eigenlijk al aangebroken. Het niet digitale tijdperk is er al niet meer.
Ik had een bankpas zonder antenne erin, bewust tegen fraude. Inmiddels heb ik ook al een bankpas ontvangen die een antenne heeft. Het wordt in die zin gewoon opgedrongen. Automaten waar je met gleuf kunt pinnen worden minder, het wordt allemaal contactloos.

Ik heb een hele stapel met 1,2 en 5 eurocent munten. Zou niet eens weten waar je ze kan omwisselen. De bankkantoren zijn veelal dicht, storingsautomaten geen idee of die ze accepteren en het zou ook zo maar kunnen zijn dat er stortingskosten gevraagd worden.

Jij hebt het over plannen maar als ik kijk, de woningbouwcorporatie wil alles digitaal hebben binnen een hele korte tijd anders gaat de woning naar iemand anders. Andere instanties sturen je een iDeal linkje, of een QR code. Een acceptgiro is er niet meer. De payment providers zijn de lachende derde want zij krikken steeds verder de prijzen op.

Op een ouderwetse manier leven kan eigenlijk bijna niet meer, los van dat je bij bepaalde winkels nog wat cash kan halen in briefjes van minimaal 20. Briefjes van vijf ik heb toevallig laatst er nog 1 gehad na wisselgeld, maar voor vijf euro koop je steeds minder.

En de verantwoording wordt ook moelijker. Vroeger had je een bonnetje, deze zijn tegenwoordig niet meer standaard maar moet je om vragen, of je krijgt het in de app van de supermarkt of via je mail.

Misschien is het in Duitsland of andere landen nog wel mogelijk om analoog te leven, maar hier zie ik dat niet meer gebeuren.

[sircampalot]

tan-codes worden vooraf verstuurd, deze zijn eenmalig geldig, maar hebben wel een lange houdbaarheidsdatum.
Je hoeft dus helemaal niet te wachten op de post.

[W00fer]

Ook best fraude gevoelig als ze in verkeerde handen vallen.

[sircampalot]

Het enige scenario wat ik kan bedenken is dat de post geopend wordt en de lijst gekopieerd en dat de ontvanger het vervolgens niet door heeft.
Misschien heb jij andere scenarios in gedachten?

[W00fer]

Ooit gehoord van post die niet aankomt, postbodes die iets verduisteren? Sowieso is de truc om een brief boven een zaklamp te houden om de codes te lezen zo oud als de weg naar Rome. Later hebben ze daar enveloppen met een plastic camouflagelaagje voor uitgebracht, maar met de strijd tegen teveel plastic zal dit wel niet meer mogen.

[Xerpan]

Wat mij betreft heb je helemaal gelijk.
Mijn moeder van in de zeventig snapt dit allemaal niet meer en moet haar zaken dus door iemand anders laten doen. Hoe veilig is dat dan?

[ibmpc]

En daarom zou de overheid vol moeten inzetten op phishing resistant. MFA is niet veel veiliger dan password only en kan voor sommige mensen best ingewikkeld zijn. Phishing resistant is voor iedereen makkelijk te gebruiken en is veiliger dan een wachtwoord.

[Bor]

MFA is niet veel veiliger dan password only

Dat is helemaal niet waar en sterk afhankelijk van de gekozen implementatie. Sommige "phishing resitant" oplossingen worden bovendien in zichzelf al als een vorm van MFA geïmplementeerd.

[sircampalot]

Ik neem even aan dat je moeder van 70 nog kwiek is en voor zichzelf kan zorgen.
Dan is het schrijnend dat ze hierdoor toch afhankelijk gemaakt wordt.
Ik zou het bijna mensonterend noemen.

[ibmpc]

Ik denk dat je in de war bent met phishing resistant. Voor MFA ben je niet afhankelijk van derden. Voor phishing resistant in sommige gevallen wel.

[Bor]

Voor MFA ben je niet afhankelijk van derden.

Dat is volledig afhankelijk van de implementatie. Zo kan je er in een bedrijfsomgeving voor kiezen alleen MFA middels de Microsoft Authenticator app toe te staan of bijvoorbeeld gebruik te maken van Okta of DUO oplossingen. In dat geval ben je wel degelijk geheel of gedeeltelijk afhankelijk van een 3e partij.

[ibmpc]

In Entra kun je ook gewoon hardwaresleutels gebruiken. Dan heb je helemaal geen authenticator nodig.

[Bor]

Maar bij het gebruik van Entra ben je nog steeds afhankelijk van Microsoft als 3e partij. Irrelevant dus.

[Reactie gewijzigd door Bor op 23 juli 2024 13:15]

[dinoballz]

Volgens de gelinkte website is de inlogmogelijkheid dus al wel aanwezig. Dus dat betekent eerder dat er teveel gebruikers zijn die er niet goed uitkomen?

[PolarBear]

Ik schat in dat er eerder te weinig mensen zijn de de multifactoroptie hebben geactiveerd en dat ze een 'reden' nodig hadden om uit te stellen. Een beetje kort door de bocht maar de doelgroepen van toeslagen hebben denk ik een vrij grote groep digibeten en/of mensen die liever niets met de fiscus te maken hebben (agv toeslagenschandaal) en/of niet de middelen hebben.

[hcQd]

MFA via sms is altijd mogelijk, zonder telefoonnummer kun je DigiD niet eens activeren, en bij bijvoorbeeld zorgverzekeraars is MFA al geruime tijd verplicht.

[dimdek]

Maar zorgverzekeraars zeggen ook dat de DigiD verplicht is en DigiD heeft mij nadrukkelijk verteld dat dat niet het geval is. Er moet altijd zonder DigiD kunnen worden gewerkt ook al doen bedrijven het voorkomen dat het verplicht is. Zelfs de belastingdienst doet meer met het spelletje 'net doen of het verplicht is'.
Deze regel pleit DigiD dus wel vrij van het opleggen van voorwaarden die burgers ergens toe verplichten, want is de basis is het niet verplicht. Het wordt echter bijna onmogelijk gemaakt om nog zonder DigiD te leven in Nederland. Echt een Nederlandse constructie dus.

[hcQd]

Je kunt bij DigiD instellen dat MFA altijd verplicht is, ook als de site dat niet vereist. Dus ja, die optie is aanwezig.

[Maarten69]

Bedankt, meteen ingesteld!

[JoHil]

Heb ik (72 jaar) het goed als ik zeg dat voor MFA altijd een mobiele telefoon nodig is? Dat het veiliger is geloof ik wel, maar hoe zit met mensen die geen mobieltje willen of kunnen hebben? Bestaat er voor deze groep een mogelijkheid om op een andere manier op MFA sites hun ding te doen?

[Mars Warrior]

Nee, MFA kan ook via een vast telefoonnummer. Je wordt dan gebeld, waarbij de in te voeren code wordt uitgesproken. Men pen en papier vij de hand is dat dus niet erg moeilijk

[hcQd]

Je kunt altijd nog langs gaan bij een toeslagenservicepunt in de buurt.

[m.w.]

Heel plat gezegd heeft men op dat vlak niets te willen. Een telefoon is vereist om deel te nemen aan de maatschappij, voor 5 euro heb je een prepaid simkaart en een antieke Nokia is gratis op te halen via marktplaats. Je hoeft hem niet eens op zak te hebben, ergens in de kast bewaren voor MFA is prima.

Als dat niet lukt dan kun je via een volmacht iemand anders je DigID zaken laten regelen of onder curatele gesteld worden, zoals je ziet bij dementie.

[SirBlade]

Als "niet willen" een optie is in mijn interacties met de overheid dan weet ik er nog wel een paar, te beginnen met "ik wil geen belasting betalen". En voor de groep "niet kunnen" zijn er bewindvoeders.

[duckieTM]

En hoe willen ze dit bij eventueel je vader of moeder van 70+, een oud boertje of boerin welke alleen een huis telefoon heeft.
Deze bevolking groep heeft totaal geen interesse in een mobiel / digitale wereld en sturen zelfs nog gewoon een kaartje als ze op vakantie zijn.
Er zal dus net als eerder vermeld ook een soort van TAN code moeten komen zodat deze mensen b.v. naar de bibliotheek kunnen en of gemeentehuis om daar hun zaken te doen of laten regelen.
En natuurlijk kun je 10000 argumenten geven waarom je het wel kan doen, maar daar hebben een hoop ouderen helemaal geen boodschap aan.
Deze gaan b.v. gewoon op het fietsje naar de bank om geld uit de muur te halen (wat al een hele cultuur schok voor ze was) en dan netjes contant bij de AH / Jumbo etc. boodschappen doen, en dan de rest van de dag met hun eigen hobby's bezig zijn, geheel analoog !

Ook hier weer het falen van de overheid, houd weer geen rekening met zeker 3% van de bevolking.

In totaal heeft 3 procent van de inwoners in Nederland thuis geen internet. Dat komt neer op zo'n 453.000 mensen

res: https://www.rtlnieuws.nl/...20geen%20internet%20thuis.

[SunnieNL]

Die 3% zonder internet gaat waarschijnlijk ook niet naar die website toe om dingen te regelen. Die kunnen dat dus blijven doen zoals ze dat altijd al deden.

[dimdek]

Dat vind ik wel kort door de bocht. Mijn moeder van 83 kan prima overweg met haar laptop en ze kan daarop bijna alles regelen. Een mobieltje met een klein scherm waar je met je vingers op moet typen is voor haar een gedrocht. De telefoon opnemen kan ze nog, maar op zoek gaan naar een sms bericht is gewoon een brug te ver. Ik heb het geprobeerd en het levert stress en frustratie op. Hierin is zij niet de enige. Het verwondert mij telkens weer dat zelfs ziekenhuizen die voor ouderen werken doodleuk vertellen dat die mensen een app moeten gebruiken.

[SunnieNL]

Hoe is dat kort door de bocht als duckie zegt "3% van de inwoners in nederland thuis geen internet hebben". Die mensen gaan dus ook niet online thuis. Hij meldt zelfs dat die mensen geen interessen hebben in de digitale wereld. Die mensen kunnen zaken blijven regelen zoals altijd. Jouw oma valt daar dus niet onder.

Helaas is het zo dat de digitale wereld extra beveiligd moet worden. Zeker als het gaat om zeer persoonlijke informatie zoals de toeslagen website of de belastingdienst. Die wil je niet alleen achter een wachtwoord en gebruikersnaam hebben. Zogauw er immers weer eens een hack plaatsvind schreeuwd iedereen weer moord en brand dat dit beter beveiligd moet worden.

[dimdek]

Ik denk dat je mijn commentaar niet goed hebt gelezen. Hoewel velen tegenwoordig denken dat smartphones hetzelfde zijn als internet is dat natuurlijk iets heel anders. Er zijn zat mensen die wel overweg kunnen met internet en op hun computer een browser kunnen gebruiken. Dat betekent niet dat ze ook zitten te wachten op een smartphone en de bediening daarvan. Ook niet voor 2FA. Er zijn prima alternatieven waarvoor geen smartphone nodig is, maar de reden dat we allemaal een smartphone moeten gebruiken is omdat we dan zo lekker te tracken zijn en dat zijn in de regel neveninkomsten. De meeste bedrijven vinden trouwens die neveninkomsten veel belangrijker dan die beveiliging, maar wat is er nu mooier dan mensen onder het mom van beveiliging kunnen volgen.

[mjansen2016]

Voor zaken die deze mensen niet kunnen/willen volgen maar wel nodig zijn, kunnen ze sociaal werkers inschakelen, of een vertrouwenspersoon uit de directe famile. En als je zaken als een digitale aangifte op een scherm, met een klik hier voor uitleg vakje ernaast, niet snapt, lijkt het me ook niet waarschijnlijk dat je wel uit zaken als bijvoorbeeld een papieren aangifteformulier komt.

[dimdek]

Waarschijnlijk kun je die sociaal werker dan aanvragen via de app met DigiD

[CAPSLOCK2000]

We zouden de Dienst Toeslagen net zo dwingend moeten maken als de belastingdienst, maar dan de andere kant op.

Iedereen is verplicht om belasting te betalen en dat zelf netjes te gaan melden bij de belastingdienst. Als je inkomsten vergeet op te geven is dat jouw fout en komt de staat achter je aan. Als de staat een vergissing maakt moet je daar zelf achter aan gaan.

Toeslagen moet je echter zelf aanvragen. Vergeet je het dan heb je pech. Maak je een fout dan wordt je gestraft. Daar komt bij dat zo'n toeslag aanvragen best moeilijk kan zijn, zeker als je wat minder stevig in je schoenen staat. Het kost tijd en moeite en als je het niet goed doet krijg je straf en je moet zelf maar weten welke regelingen er bestaan waar je recht op hebt. Daardoor komt het geld vaak niet terecht bij de mensen die dit het meeste nodig hebben maar bij (relatief) rijkeren die weten hoe ze het systeem moeten gebruiken.

Zou het niet mooi zijn als we het omdraaien en de Dienst Toeslagen verplichten om te zorgen dat mensen krijgen waar ze recht op hebben? Zodat de mensen die het meeste hulp nodig hebben die gewoon krijgen in plaats van er zelf acher aan te moeten jagen. Zodat als er fouten worden gemaakt de schuld bij de overheid ligt en niet bij de burger.

Het klinkt misschien als financieel dom om geld actief uit te geven in plaats van te wachten tot er om gevraagd wordt maar dat is het niet. Al die regelingen zijn er omdat we denken dat de maatschappij er als geheel beter van wordt. Je kan beter een gratis brood geven dan toezien hoe de winkelruit wordt ingeslagen om een brood te stelen. En van gratis weggeven is hier geen sprake, als werkende draag je bij aan het sociale vangnet zodat je er gebruik van kan maken als dat nodig is. Het is gewoon een verzekering. De meeste mensen betalen er gewoon zelf voor en de paar die er meer uit halen dan ze er zelf in gestopt hebben zitten meestal niet echt in een benijdenswaardige situatie.

Naast de Belastingdienst moet er dus ook een OntlaDienst Toeslagen zijn met een dwingend karakter richting de betalingsplichtige partij. Niet wachten op een aanvraag maar actief opsporen en aanbieden.

[Reactie gewijzigd door CAPSLOCK2000 op 23 juli 2024 13:15]

[enigmafan]

Zou het niet mooi zijn als we het omdraaien en de Dienst Toeslagen verplichten om te zorgen dat mensen krijgen waar ze recht op hebben? Zodat de mensen die het meeste hulp nodig hebben die gewoon krijgen in plaats van er zelf achter aan te moeten jagen. Zodat als er fouten worden gemaakt de schuld bij de overheid ligt en niet bij de burger.

Persoonlijk zou ik nog mooiere oplossing vinden;

Schaf toeslagen af.

Er is niks dat moet toeslagen wordt geregeld dat je niet ook met belastingen kan bereiken. Iemand heeft recht op huurtoeslag? Geef de totale betaalde huur op aan de belasting (geef het automatisch door vanuit de woningbouwvereniging aan de belastingdienst voor de vooringevulde aangifte) en je hebt alle benodigde info in 1 belastingaangifte; totaal aan inkomsten, betaalde huur -> bereken 'huurtoeslag' maar dan als aftrekpost.

Dit kan voor alle vormen van toeslagen automatisch. Waarom in 's-hemelsnaam iemand ooit heeft bedacht dat toeslagen een goed idee zijn weet ik niet maar waarom het apart aanvragen van een soort subsidie in plaats van het achteraf toekennen van een aftrekpost beter zou is mij onduidelijk.

Het nadeel van toeslagen is heel duidelijk;

• Het creëert problemen als de toeslagen affaire. Als de mensen die in de toeslagen affaire zitten dit aan het einde van het belastingjaar hadden recht kunnen trekken in hun belastingaangifte omdat het geen toeslag maar een aftrekpost is, had dat voor veel minder problemen gezorgd.
• Er is een aparte dienst die dit regelt, omdat het nou eenmaal iets anders is dan een aftrekpost in een aangifte, daar gaan de kosten al flink omhoog. De belastingdienst is al duur, een compleet nieuwe afdeling vanwege iets compleet nieuws als toeslagen zal het niet goedkoper maken.
• Omdat je het vooraf kan aanvragen werk je fraude in de hand (Allerlei vage Europese landiërs die toeslagen aanvroegen en daar vervolgens lekker van leefden zonder dat ze ooit iets terug gaan betalen).

Nee, laten we vooral die toeslagen afschaffen en het via de gebruikelijke aangifte regelen dat mensen de toeslag/aftrek krijgen waar ze recht op hebben.

Ooit las ik de bewering, waarvan ik niet kan weten of dit echt waar is, dat de overheid toeslagen heeft ingevoerd om mensen een beter gevoel over de overheid te geven: 'Kijk die overheid mij toch eens helpen door mij geld te geven voor zaken die ik nodig heb'. Ik weet niet of dit inderdaad ook een idee was dat meespeelde bij het invoeren van toeslagen maar als dat zo was heeft het invoeren van toeslagen absoluut het complete tegendeel bereikt. En dat voor heel, heel veel geld betaald door de belastingbetaler.

[Reactie gewijzigd door enigmafan op 23 juli 2024 13:15]

[liberque]

totaal aan inkomsten, betaalde huur -> bereken 'huurtoeslag' maar dan als aftrekpost.

Iemand met enkel een AOW, een WIA of een bijstandsuitkering valt dan buiten de boot. Ze hebben nauwelijks inkomen dus betalen minder belasting. Als je dan toeslagen als aftrekposten inzet dan houden ze een stuk minder over. Dus je idee is goed, maar het gaat helaas niet voor iedereen werken.

[magician2000]

Blijft dus over waarom dit niet op een slimmere manier geregeld kan worden. De belastingdienst heeft al wel inzake in je inkomsten, dus kan met een simpele berekening bepalen welke toeslag je dan recht op zou hebben en die automatisch toekennen.

Dat scheelt in ieder geval al de stap dat je het zelf uit moet zoeken met de risico's van dien (zoals de toeslagenaffaire).

Maar wellicht is het werken aan een basisinkomen een nog beter idee.

[TakkUNL]

Actief aanbieden twijfel ik nog wel over, maar in ieder geval actief de toeslagen stopzetten als er geen recht meer op is zou al een hoop schelen verwacht ik.

Maar goed, dan zie je weer dat het huidige systeem ontzettend traag is en dat de diensten zwaar onderbezet zijn. Alles wat je krijgt is een voorschot en het kan zo twee jaar duren voordat de voorschotten definitief worden vastgesteld. Daar zou m.i. de eerste verbeterslag zitten: zorgen dat de beschikbare data sneller ingezet kan worden.

[Sodela]

Het kan maar net als met de blauwe envelop die eigenlijk overbodig zou moeten zijn voor de meeste mensen heb je hier ook te maken met “klanten” die nog niet zover zijn.
Het ligt politiek nogal gevoelig om iedereen te verplichten op de juiste manier digitaal te werken terwijl niet iedereen mee kan of wil en op die manier wordt buitengesloten. Commerciële bedrijven hebben minder last van deze scrupules maar de belastingdienst ligt altijd onder het vergrootglas.
Dat gaat natuurlijk net zolang duren totdat er gevallen van misbruik komen en dan krijgen ze weer eens om de oren dat ze het niet gedaan hebben.
Wat ze ook doen, ze krijgen altijd wel ergens de schuld van…

[RoestVrijStaal]

Het ligt politiek nogal gevoelig om iedereen te verplichten op de juiste manier digitaal te werken terwijl niet iedereen mee kan of wil en op die manier wordt buitengesloten. Commerciële bedrijven hebben minder last van deze scrupules maar de belastingdienst ligt altijd onder het vergrootglas.
Dat gaat natuurlijk net zolang duren totdat er gevallen van misbruik komen en dan krijgen ze weer eens om de oren dat ze het niet gedaan hebben.
Wat ze ook doen, ze krijgen altijd wel ergens de schuld van…

Bedenk dat als het verplicht wordt, dat de overheid indirect daardoor haar burgers verplicht om een Android of iPhone telefoon te nemen. Of zijn er al officiële apps van de overheid voor SailFishOS, postmarketOS, ...?

[Keyb]

Zolang de sms variant blijft bestaan zijn Apple of Google nog geen vereiste.

edit: Of zoals elders al aangekaart zouden ze totp standaarden moeten gaan hanteren. dat is nog de netste manier imo.

[Reactie gewijzigd door Keyb op 23 juli 2024 13:15]

[sircampalot]

Commerciële bedrijven hebben minder last van deze scrupules

Als je geen zaken kunt/wilt doen met commerciele bedrijven is dat prima.
Als je hetzelfde met de belastingdienst doet, ga je uiteindelijk de gevangenis in.

[holoduke51]

Zolang je maar geen native app hoeft te installeren. Een webversie van mfa zou altijd aanwezig moeten zijn.

[Mijzelf]

Een webversie van MFA? Wat is die tweede factor dan?

[holoduke51]

Een SPA achtige app. Moet prima kunnen. Ik ben tegen een native app, omdat je dan vast zit aan Android of ios.

[deadinspace]

Een SPA-achtige web app voor 2FA klinkt een beetje gek, ik vraag me af of hoe veilig dat is.

Veel beter lijkt me ondersteuning voor TOTP authenticator codes, die kun je met een authenticator app naar keuze gebruiken op alle platformen. (Of desnoods zelf implementeren als je paranoide genoeg bent)

[holoduke51]

Een native of webapp zouden in princiepe geen verschil moeten zijn. Tenzij Android of Apple truukjes uithalen om zaken wel of niet toe te laten op native. Maar dat zou niet moeten mogen. Een webapp is daarnaast transparant en je kan zelf bepalen waar het in draait.

[MadmanX]

-bromt iets over "passende technische en organisatorische maatregelen" -

[joey82]

ze mogen dit van mij ook wel invoeren voor alle social media platformen....

[Yalopa]

Onbegrijpelijk, dagelijks lezen we hier over hacks, in veel gevallen konden die vermeden worden door iets simpels als MFA.

[dimdek]

Zelf geloof ik dat je dingen pas moet invoeren als ze goed getest zijn en je oplossingen hebt voor scenario's waarin dingen niet kunnen of misgaan. De afgelopen jaren is iedereen alleen maar bezig met het magische digitaliseren en is er helemaal geen aandacht meer voor diverse scenario's. Af het dan gaan over veriligheid in communicatie en gebruiksvriendelijkheid. Het lijkt er niet meer toe te doen. In feite wordt de wereld gewoon geregeerd door een stel authistische techneuten die niet worden terugefloten door politici die totaal geen idee hebben waar ze mee bezig zijn (zo blijkt uit hun eigendigitale middelengebruik).
Dat klinkt hard, maar ik begrijp niet dat alles wat de afgelopen 50 prima heeft gefunctioneerd nu in 10 jaar overboord moest en is vervangen door niet goed werkende systemen die onveilig blijken te zijn omdat ze ofwel zo gebouwd zijn of omdat niemand ze echt begrijpt.