DigiD is opnieuw 'beperkt beschikbaar' door ddos-aanvallen

Logius heeft momenteel last van ddos-aanvallen. Dat bevestigt de organisatie op zijn website. Daardoor zijn DigiD en Digimelding momenteel 'beperkt beschikbaar'. Er wordt momenteel gewerkt aan een oplossing. Het is niet bekend wanneer de storing ongeveer voorbij zal zijn.

De storing begon rond 12.19 uur, zo meldt Logius op zijn statuswebsite. Rond die tijd kwamen ook honderden meldingen binnen op Allestoringen.nl. De organisatie spreekt dus van ddos-aanvallen, maar geeft verder weinig details over het voorval. Logius zegt 'hard te werken' aan een oplossing.

De afgelopen maanden was DigiD al vaker onbereikbaar door ddos-aanvallen. Eind vorige maand erkende Logius, dat DigiD beheert, al dat het de afgelopen tijd vaker last heeft gehad van ddos-aanvallen. De organisatie noemde die aanvallen toen 'slimmer, gerichter en minder voorspelbaar' dan voorheen. Logius zei toen dat het die ddos-aanvallen wil gaan afweren met 'een aangepaste aanpak', hoewel de organisatie daarover toen nog weinig zei.

Reacties (51)

[Luchtbakker]

Misschien niet direct wat je wilt, maar waarom zitten diensten als Digid niet gekoppeld aan cloudflare? Dan ben je dit hele gezijk grotendeels kwijt.

[Zer0]

Ja fijn, communicatie met de overheid via een Amerikaanse partij....
Dat is het grote probleem voor overheden (en banken). Communicatie wil je zo min mogelijk via derde partijen, en al helemaal niet via buitenlandse partijen.

[Reactie gewijzigd door Zer0 op 9 april 2025 13:35]

[RxTweak]

Mwaw dat valt ook wel weer mee hoor. Doe maar eens een traceroute op rabobank.nl of ing.nl, dan zie je dat het verkeer gewoon via Akamai loopt en Akamai is een Amerikaans tech bedrijf. Ik pak er nu even twee uit maar er zullen er meer zijn.

[RobbieB]

tja, en hun backend draait waarschijnlijk grotendeels op Azure/AWS... en als ze al een on-prem data center hebben dan draait dat op DELL/HP met Intel/AMD chips, beschermt met firewalls van Cisco/Palo Alto/Fortinet.

Succes om je tech stack op te zetten zonder US technologie.

[Zer0]

en als ze al een on-prem data center hebben dan draait dat op DELL/HP met Intel/AMD chips, beschermt met firewalls van Cisco/Palo Alto/Fortinet.

Het gaat er niet om of ze amerikaanse producten gebruiken (wat nu natuurlijk hot is)
Maar wil je authenticatie bij de overheid af laten hangen van diensten van (buitenlandse) derden?

En ja, wellicht doen een aantal banken dat, maar is dat gewenst? En doet de overheid dat ook (voor belangrijke diensten?)

[RobbieB]

Die hele organisaties draaien intern op Microsoft en EntraID. Dus los van dat je gebruikers authenticeren via (buitenlandse) derden, doen hun interne medewerkers met veel meer rechten en toegang dat sowieso al...

[Waswat]

Ik begrijp deze houding niet. Wat wil je hiermee zeggen? "Er zijn geen perfecte oplossingen dus moeten we het niet doen"?

Minder afhankelijk zijn van buitenlandse overheden en diensten is ook een winst aan zich en een stap in de goede richting. Zoals men vaker in development zegt, "perfect is de grootste vijand van goed genoeg".

[Zer0]

Mwaw dat valt ook wel weer mee hoor. Doe maar eens een traceroute op rabobank.nl of ing.nl,

Doet het ook eens voor mijn.ing.nl.... dat de website akemai gebruikt betekend niet dat alles dat gebruikt.

[Reactie gewijzigd door Zer0 op 9 april 2025 13:58]

[RxTweak]

[...]

Doet het ook eens voor mijn.ing.nl.... dat de website akemai gebruikt betekend niet dat alles dat gebruikt.

Klopt, maar kritieke URL’s zoals betalen.rabobank.nl en api.rabobank.nl resolven gewoon naar Akamai. Misschien gebruikt ING Akamai enkel voor de homepage, maar daar durf ik niets over te zeggen. Het lijkt mij zeer aannemelijk dat er meer banken zijn die vertrouwen op (Amerikaanse) beveiligingsbedrijven voor kritische dienstverlening en met reden.

[Reactie gewijzigd door RxTweak op 9 april 2025 21:33]

[theduke1989]

maar we nemen wel met zijn alle cloud diensten af als bedrijven.
dat is wel weer goed????

het was allemaal zo rozengeur en manenschijn vroeger toen alles on-prem was.
Dan had je nog tenminste echt beheerders die alles echt overeind houden.

Nu laat je een super groot gat open voor Diensten als Azure etc, n qua prijs niet echt veel beter.
Bij ons tenminste d...

[TunefulDJ_Mike]

Overheid draait nog sxteeds heel veel op on-prem of overheidsdatacenters en/of Europese aanbieders van private cloud. Er zijn best wel wat regels binnen bijvoorbeeld Logius en BD die het lastig maken om iets op een van de Amerikaanse cloud diensten te draaien.

[kodak]

Ik kan niet zien wat de hele reactie was. Maar dat het voor anderen wel goed is stelt @Zer0 momenteel niet. En die conclussie valt ook niet te trekken aangezien de discussie gaat om wat voor de overheid wel/niet acceltabel is. Bedrijven hebben veel eigen verantwoordelijkheid zich niet te veel afhankelijk te maken. En dat geeft ook gelegenheid om als Nederlandse of Europese ondernemer te gaan concurreren met wat bijvoorbeeld Amerikaanse bedrijven niet kunnen bieden.

[grasmanek94]

Ik wil niet (het risico) dat een Amerikaanse (of Chinese, of andere) partij onze Nederlandse data gaat kopiëren en buiten Nederland gaat opslaan, en er lekker alles willy-nilly mee gaat doen, dus nee bedankt.

[moonlander]

Gebeurt ook met alle betalingen visa/Mastercard.

[Bongoan]

Dat het gebeurt, houdt niet in dat we dit willen bij overheidsinstanties.

[moonlander]

Ook niet bij betalingen, stel America zegt nee, dan ben ik benieuwd hoe je dan nog aan geld komt.

[grasmanek94]

Genoeg mensen die ik in de financiële industrie ken die het ook liefst in eigen handen nemen. Waarom deze duo/monopoly er is en niet doorbroken kan worden snap ik niet.

Toevallig net ergens anders wel een bericht over gelezen dat er weer een EU initiatief is om het in eigen handen te nemen.

[Reactie gewijzigd door grasmanek94 op 9 april 2025 13:49]

[keigezellig123]

En ondertussen komt CCV (Nederlands bedrijf, bekend van de pin betaalterminals en transactieverwerker) in Amerikaanse handen...

[oef!]

Verkeer zal via https versleuteld zijn dus een ander komt er niet bij.

[grasmanek94]

versleuteld tussen ons en CF, CF kan alle data inzien.

[lenwar]

Heb je daar een bron van?
Het lijkt me sterk dat Cloudflare de TLS-certificaten van een bank krijgt.

https is eind-tot-eind versleuteld tussen de browser/app en de webserver/webdienst.

Cloudflare kan prima tussen de tcp-stroom zitten natuurlijk zonder dat ze het verkeer ontsleutelen.

[grasmanek94]

Daar hoef ik geen bron voor, als je CF gebruikt dan weet je hoe het werkt.
Zoek maar op "what is a reverse proxy".

Edit2: Er is natuurlijk Enterprise Keyless SSL, dus je mag er by default vanuit gaan dat de normale proxy service alle data in kan zien.
Alleen dan kan een website geen CoudFlare WAF (Web Application Firewall) gebruiken voor zover ik weet, en als dat mist dan is de kans op DDoS aanvallen die niet tegen te houden zijn groter.

Zelf verwijzen ze naar een artikel hier https://blog.cloudflare.c...gritty-technical-details/

Maar ze zijn heel slim in niet vertellen wanneer en hoeveel data ze wel in kunnen zien (en hoe lang). Ik ben geen crypto expers maar zoals ik de beschreven flow zie in Keyless SSL geeft men alleen niet de private key, maar nog steeds wel de sessie keys om de https sessie te decrypten.. dusja dan kan WAF alsnog.. en kan CF alsnog alle data inzien.

https://cf-assets.www.clo...l_handshake_rsa.jpeg.jpeg

Zowel de client als CF hebben de session key, dus ja, CF kan zelfs in Keyless SSL gewoon alle traffic mee kijken.

Cloudflare kan prima tussen de tcp-stroom zitten natuurlijk zonder dat ze het verkeer ontsleutelen.

Dan kun je net zo goed geen DDoS protectie bij ze afnemen, moderne aanvallen komen van "valide" https verbindingen die er "echt" uit zien.
Digid zou daar ("nep verbindingen") wat mij betreft geen last van mogen hebben want die zullen dan wel blackholing toepassen bij hun ISP (speculatie).

[Reactie gewijzigd door grasmanek94 op 9 april 2025 23:39]

[lenwar]

Ik ben volledig bekend met de meest gangbare technieken hieromtrent. En er zijn technieken waar Cloudflare inderdaad zou kunnen meekijken.

En er zijn ook zat technieken waarmee dat niet kan. Dus mijn vraag is. Hoe weet je zeker dat de ING een systeem gebruikt dat Cloudflare mee kan kijken?

Ik zeg dus niet dat je ongelijk hebt, maar ik vraag me alleen of waar je dat vandaan haalt.

[grasmanek94]

Welke technieken zijn er dan om content-level (WAF) DDoS mitigation te doen maar zonder de content aan een derde partij (zoals CF) kenbaar te maken?

Zoals ik al zei, tegenwoordige DDoS aanvallen zijn geen simpele "flood aan neppe verbindingen", het zijn echte requests.

[ManiacsHouse]

Ccv is inmiddels ook verkocht aan Amerikanen. Daar gaat het gros van de pin betalen langs.

[DigitalExorcist]

Cloudflare? Nee dank je. Corrupte extreemrechtse wanbende daar.

Zou wél een mooie gelegenheid zijn om een Europees danwel Nederlands alternatief te gaan ontwikkelen.

[RemiR]

NaWas is daarvoor bedoeld https://www.nbip.nl/nawas/

[DigitalExorcist]

Mmm. Ja die naam was ik even vergeten eerlijk gezegd. Maar dan moet DigiD daar dus wél gebruik van maken. Of er moet capaciteit bij..

[3raser]

Maakt DigiD geen gebruik van de Nationale Wasstraat?

[michaelkamen]

Ze zijn lid van No More DDOS, waar de NaWas ook bij is aangesloten. Of ze gebruikmaken van de infrastructuur heb ik niet kunnen vinden.

[dehardstyler]

Misschien leuke info voor andere, maar het gaat dus om NaWas van het NBIP: https://www.nbip.nl/nawas/

Ik wilde kijken op de lijst om te zien of DigiD lid was, maar helaas heb je een wachtwoord nodig. https://www.nbip.nl/tapdienst/deelnemers/

Die heeft iemand hier vast wel!

[c-nan]

Waar jij naar linkt zijn deelnemers van de tapdienst. De Nationale Wasstraat is wat anders dan de tapdienst.

Maar helaas lijkt er geen lijst beschikbaar te zijn met partijen die aangesloten zijn op de NaWaS.

[dehardstyler]

Lekker scheel inderdaad! Je hebt helemaal gelijk.

[JJ Le Funk]

Vraag me af wat de intentie is van de kwaadwillende(n) achter deze gecoördineerde aanval. systeem overnemen? en dan?

[mk1992]

Stoer doen in duistere kringen. Kijk ons eens een nationaal inlogsysteem platleggen etc.

[jaapzb]

Ik denk dat er genoeg partijen zijn te bedenken die er belang bij hebben dat onze samenleving ontwricht word

[wjn]

Als je het nieuws een beetje leest, script kiddies etc.
Genoeg ongepatchte IoT China shit wat in botnets zit, gewoon in het binnenland.
Ik denk dat weinig mensen zich bewust zijn dat hun deurbel, camera, thermostaat etc. onderdeel van dit soort aanvallen kunnen zijn.
Vandaar ook de komende EU eisen voor dit soort apparatuur, nu maar hopen dat het straks ook daadwerkelijk gecontroleerd en bestraft wordt.

[:murb:]

@AverageNL de impact is verbreed:

Storing
Betreft:
DigiD, Digimelding, Digipoort Financieel (WUS en FTP), Digipoort SBR Belastingdienst (WUS), machtigen en mededelen, Digipoort Sociaal en Financieel (WUS)
Status:
Storing
Begin storing:
9 april 2025 om 12:19 uur
Laatste update:
9 april 2025 om 13:27 uur
Gevolg:
De dienst is minder, of niet beschikbaar

DigiD, Digimelding en Digipoort zijn beperkt beschikbaar door DDoS-aanvallen. Er wordt hard gewerkt aan een oplossing. Onze excuses voor het ongemak.

[mrtl]

Wat een totale desinteresse van de overheid om hier wat aan te doen. Kan er geen aanbesteding voor een op de overheid gerichte anti-ddos dienst komen? Zijn vast bedrijven die daar op willen inspelen voor het juiste bedrag.

[Elidibus]

Niet alleen voorkomen, maar ook benoemen wat het in sommige gevallen is. Als een andere staat ons DDOS't is het in principe een oorlogsdaad, maar dat durven we niet te zeggen, zeker niet als Rusland het doet. Het actief ontregelen van infrastructuur vind ik bijzonder kwalijk.

[xenn99]

DDOS is natuurlijk heel lastig te traceren omdat de aanvallen gewoon van bots over de hele wereld komen.
Bewijzen dat een bepaald land daar achter zit is volgens mij tot nu toe nog nooit echt gelukt, het blijft altijd bij vermoedens en dat is niet genoeg.

[DigitalExorcist]

Soms zijn er wel groepen die de verantwoordelijkheid opeisen.

Je hebt alleen veel verschillende groepen. Staatshackers, terroristen, scriptkiddies, activisten .. en die laatste 3 hoeven niet perse staatgebonden te zijn.

[ramonfincken]

Wie dan? Nawas is juist als soort van coöperatie opgezet omdat het onbetaalbaar is om voor elkaar te krijgen

[ChillinR]

Desinteresse? Hoezo? Ze zijn er heus wel mee bezig.

[Blaze85]

Wel slecht van de overheid dat ze zo laten naaien door MS-DOSS. 30 jaar geleden konden we hier toch ook prima mee omgaan?!?

[Thonz]

Ik denk dat met de NAVO top in Den Haag eind juni, we meer van dit soort situaties mogen verwachten.

Het is m.i. niet meer dan logisch dat er partijen zijn die zo veel mogelijk moeite doen om die top op welke manier dan ook tegen te werken.

Of wij als Nederland hier tegenop gewassen zijn is een tweede. Of uberhaupt een land hier tegen bestand is, een derde.

[old58]

Volgens de Logius app is de storing om 14.05 beëindigd.

[ZinloosGeweldig]

Erg veel beste stuurlui in de reacties vandaag.

Lekker aan wal met hun klok onder de arm (klepel helaas vergeten).