Logius brengt DigiD-versie uit met ondersteuning voor key attestation

Logius brengt een nieuwe versie van de DigiD-app uit waarin key attestation is verwerkt. Dat is een cryptografische methode om een app te koppelen aan een specifiek apparaat, waardoor spoofing bijvoorbeeld moeilijker wordt.

Logius, de ict-dienstverlener van het Nederlandse ministerie van Binnenlandse Zaken, schrijft in de releasenotes van versie 6.16 dat DigiD in de toekomst op zowel Android als iOS key attestation ondersteunt. Key attestation is een cryptografisch proces waarbij tussen een app en bijvoorbeeld een besturingssysteem een sleutelpaar wordt aangemaakt waarbij de private key in een trusted execution environment wordt opgeslagen. Tweakers schreef in 2020 een achtergrondartikel over hoe dergelijke TEE's werken.

Door key attestation in DigiD te verwerken, wordt een link gelegd tussen de DigiD-app en het apparaat waarop een gebruiker die installeert. "Zo weet DigiD zeker dat deze sleutel hoort bij het apparaat dat wordt gebruikt om in te loggen", schrijft Logius.

Moderne smartphones ondersteunen key attestation, maar Logius waarschuwt dat dat bij oude of goedkope modellen niet het geval is. Ook moeten gebruikers minimaal Android 8 of iOS 13 gebruiken. Op dit moment is voor de DigiD-app minimaal iOS 12.2 nodig. Android 8 werd al niet ondersteund; gebruikers moeten minimaal Android 9 hebben. Gebruikers lopen alleen tegen problemen aan als ze een ID-check willen doen in de DigiD-app. Ze kunnen bijvoorbeeld wel inloggen bij diensten waarbij geen ID-check nodig is.

In de nieuwe versie van DigiD is het ook mogelijk om de ID-check uit te voeren met allerlei andere soorten reisdocumenten, zoals documenten die in het buitenland zijn uitgegeven. Ook kunnen gebruikers in het buitenland een activeringscode voortaan niet alleen via sms maar ook per e-mail ontvangen.

Reacties (109)

[GertMenkel]

Het lastige van key attestation is dat je met geroote toestellen nog steeds bij die credentials kunt komen (door bijvoorbeeld de API-calls te onderscheppen tijdens de sleuteluitwisseling, maar met root access kun je ook exploits vinden voor veel TEE's op Android). Dat is een reden waarom veel apps die key attestation doen ook meteen dingen als Play Integrity gebruiken.

Ik hoop daarom dan ook niet dat hiermee automatisch toestellen die wel veilige key attestation doen maar niet door Play Integrity heen komen (GrapheneOS is een bekend voorbeeld) hiermee nu worden uitgesloten.

Op iOS waar je dat soort dingen toch al niet goed voor elkaar krijgt lijkt het me een welkome toevoeging, overigens.

[Reactie gewijzigd door GertMenkel op 19 september 2025 14:22]

[Triblade_8472]

Waarom zou jij hopen dat anderen die wèl gebruik wensen te maken van een (privacy vriendelijker) ander os, hier geen gebruik van kunnen maken?


Wat is er toch tegenwoordig met de mensen die een ander niks meer gunnen? Wie ben jij om een ander een privacy-onvriendelijk os te wensen?

Waarom zou ik van jou geen gebruik mogen maken van een mooie feature?

Heb jij er nadeel bij ofzo?

[GertMenkel]

Ik vind het een nuttige feature en zou er graag gebruik van kunnen maken, maar de feature vereist nu eenmaal bepaalde eisen van het toestel zelf. Dus ja, als ik die feature gebruik, heb jij daar last van, en als jij die feature niet wilt gebruiken, heb ik er niks aan.

De beveiligingsfeature werkt niet als je een OS installeert waar je die beveiligingsfeature kunt omzeilen, of het modificeert zodat deze niet goed werkt. Key attestation zonder daadwerkelijke beveiliging van de sleutels voegt alleen maar failure modes en hardware-afhankelijkheden toe die er eerder niet waren, qua beveiliging voegt het dan niets toe. Dit omdat Play Integrity niet alleen custom ROMs detecteert, maar ook root access door malware. Weinig app-ontwikkelaars geven om de paarduizend man die een custom ROM draait, het gaat meestal vooral om de malwaredetectie (en DRM, bij mediabedrijven).

Als je geen enkele poging doet om de software te verifiëren, kun je net zo goed de hele feature weglaten, dan doen de goedkope smartphones zonder TEE en de smartphones met custom ROMs met verneukte TEE het ook weer.

Er is geen strikte eis om Play Integrity te gebruiken, en zelfs met Play Integrity is er geen strike eis om custom ROMs te weigeren. Die keuze is aan de ontwikkelaars, zoals GrapheneOS ook aanwijst, al zijn maar weinig custom ROMs geïnteresseerd in het correct uitvoeren van dit soort beveiligingsfuncties.

Je kunt hier niet een optionele feature van maken, want malware kan dan gewoon doen alsof de gebruiker een opt-out heeft gestuurd. Daarom moet je effectief de keuze maken tussen "feature niet aanzetten" en "ROM's checken en al dan niet whitelisten", tenzij je "feature aanzetten maar op zo'n manier dat hij praktisch niets toevoegt en alleen maar dingen kapot kan maken" als een oplossing ziet.

Als ik Google's handleiding voor key attestation bekijk, ben ik bang dat ze custom ROMs en root-gebruikers in de steek gaan laten. Maar goed, wie weet hebben ze de aanwijzingen van GrapheneOS gevolgd, dan kan iedere goedgebouwde custom ROM in principe zijn hashes opsturen en veilig gebruik kunnen maken van deze feature.

[Houtenklaas]

Ik vind het een nuttige feature en zou er graag gebruik van kunnen maken, maar de feature vereist nu eenmaal bepaalde eisen van het toestel zelf. Dus ja, als ik die feature gebruik, heb jij daar last van, en als jij die feature niet wilt gebruiken, heb ik er niks aan.

En dat is niet zo. Als de feature werkt voor 98% van de NL bevolking is dat winst. En degenen met een ander OS zullen de oude methode gebruiken. Dat is óók winst voor Logius. Alleen zullen ze dit nooit voor 100% van de populatie kunnen afdwingen.

[CAPSLOCK2000]

En dat is niet zo. Als de feature werkt voor 98% van de NL bevolking is dat winst. En degenen met een ander OS zullen de oude methode gebruiken. Dat is óók winst voor Logius. Alleen zullen ze dit nooit voor 100% van de populatie kunnen afdwingen.

Nee, het kan alleen werken als je de oude manier verbiedt. Je moet het 100% afdwingen, anders is het allemaal alleen maar show.

[Houtenklaas]

Nee hoor. Als je met een maatregel kan voorkomen dat 98% van de mensheid de nieuwe manier gebruikt en 2% niet is dat nog steeds winst. Waarom zouden ze er dan überhaupt aan begonnen zijn aangezien ze nooit kunnen afdwingen dat 100% van de populatie Android of iOS gebruikt?

Afdwingen dat je dan maar een NFC lezer gebruikt om in te loggen met een ID/Rijbewijs van na 2021 zou kunnen. In mijn geval moet ik dan zowel ID als Rijbewijs vernieuwen omdat die van voor 2021 zijn, maar beiden nog jaren geldig zijn. Na 2031 is dat probleem opgelost, maar tot die tijd valt er weinig af te dwingen vermoed ik.

[Triblade_8472]

Dus ja, als ik die feature gebruik, heb jij daar last van, en als jij die feature niet wilt gebruiken, heb ik er niks aan.

Wat? Dus jij hebt last van de app die ik nu op mijn telefoon heb...? Hoe dan!

[GertMenkel]

Zie de rest van de reactie voor "waarom".

[Schway]

Ik denk dat iemand die er voor kiest zijn toestel te rooten en/of er een ander OS op zet weet wat de consequenties zijn, dat bepaalde apps zoals bankieren daar moeilijk mee gaan doen, en deze afweging maken.

[Steinvoorte]

En waarom zou dit moeilijk moeten zijn? Ik kan op een computer gewoon Linux of Windows installeren en op beide OS/Hardware combinaties mijn bankzaken doen.

Waarom kan ik niet van OS wisselen op een telefoon en dan toch mijn bank zaken doen? Nee Google bepaald met Play Integrity wie "integer"/"te vertrouwen" is en wie niet en daarmee dus controle uit oefent welke smaken van android op welke toestellen gedraaid mag worden.

En dan hun handen in onschuld wassen dat het DigID is en dat het de banken zijn die besluiten die API te gaan gebruiken.

Google heeft de banken al helemaal ingepakt door ze voor te spiegelen dat contactloos betalen met een telefoon veel goed koper is en veiliger dan een eigen app met betaal functie in stand te houden.

Met als resultaat dat alle betalingsgegevens via Google en Apple gaan.... (gelukkig doen ze nog wel aan fysieke pin passen... hoe lang nog)

Mede hierdoor moet je dus een Google account hebben om overheidszaken en of bankzaken te kunnen doen op een normale manier in deze snelle samenleving. Waarom kan dit niet op een telefoon met een OS die wel de bank en DigID app kan draaien zonder een Google of Apple account?

[Schway]

Aaah, gevoelige snaar geraakt.

Het gaat bij banken en Google om vertrouwen. En dat hebben ze meer in elkaar dan in de tweaker die anti Microsoft, anti Google, anti Apple, die Linux draait en niets vertrouwd.

Vertrouwen komt van twee kanten, en als je niets geeft, krijg je ook niets terug.

[timeraider]

Het gaat een bank niet om vertrouwen, noch Google.
De bank bespaard geld door geen eigen app te hoeven onderhouden en Google zorgt ermee dat meer mensen vast komen te zitten in hun systeem.
Het is nu al tientallen keren bewezen dat het niemand om vertrouwen gaat.

En het laat ons weer meer afhangen van acties in de US.

[Reactie gewijzigd door timeraider op 19 september 2025 15:15]

[Schway]

De bank houdt zijn eigen app, die wordt niet vervangen door Digid, geen idee waarom jullie dat denken.

Digid wil Logius draaien op een OS dat zo veilig mogelijk is. Of die veiligheid en het vertrouwen terecht of onterecht is mag je lekker over doorgaan, maar wat jij denkt en ik denk zal nooit hetzelfde zijn.

Mijn punt is niet wat jullie vinden en willen, mijn punt is dat Logius eerder Google vertrouwd en hun manier van integriteit controleren dan hoe custom roms dat doen en daarom hun spul wel laten werken op een fabrieks OS ipv een custom OS.

En helaas is een desktop PC niet te vergelijken met een mobieltje, hoe hardt je ook roept dat het wel zo is, of zou moeten zijn.

[William_H]

De bank houdt zijn eigen app, die wordt niet vervangen door Digid, geen idee waarom jullie dat denken.

Ze refereren aan de losse NFC apps van bijvoorbeeld de Rabobank en de SNS (nu ASN) Bank. Die hadden een losse app waardoor je via NFC met je telefoon in de winkel kon afrekenen bij een PIN terminal. Deze en andere banken hebben deze implementatie losgelaten, en hebben Google Pay/Wallet daarvoor in de plaats genomen. Echter Google Pay kan je niet draaien op een gede-Googlede telefoon, dus in feite kan je dan niet meer met je NFC chip die in je telefoon zit, betalen.

Dat is waar zij naar refereren, en dat Google de banken heeft wijsgemaakt dat het goedkoper is dan een eigen app draaien, komt van dat banken dat ook zo tegen klanten hebben verwoord.

[specs2021]

Misschien een domme vraag, maar als je je telefoon deGoogled, waarom zou je dan willen betalen met Google-Pay?

[Reactie gewijzigd door specs2021 op 20 september 2025 21:59]

[Steinvoorte]

Dat wilde ik ook niet. Maar met de ing app werken met NFC betalen wel, zonder Google Pay. Precies zoals ik dat wil. Bank zaken/betalingen en informatie uitwisseling tussen mij en mijn Bank. Niet via google.

Helaas kan dat niet meer. Dus terug naar de pinpas met contactloos betalen.

[William_H]

Dat wil je ook niet, maar precies wat @Steinvoorte zei, omdat de banken hun eigen NFC betaalapps hebben uitgefaseerd ten faveure van Google Pay, kun je dus niet meer met je telefoon betalen aan de kassa.

[Klauwhamer]

En helaas is een desktop PC niet te vergelijken met een mobieltje, hoe hardt je ook roept dat het wel zo is, of zou moeten zijn.

Waarom niet? Wat zijn de meest belangrijke verschillen in de context van authenticatie waar DigiD support voor levert?

[lenwar]

Er zijn een aantal zaken die op telefoons beter geregeld zijn dan op desktopbesturingssystemen. De opslag van data van een app, is volledig 'in een sandbox'. Geen andere app kan bij de data van een andere app, zolang die app daar niet op ontworpen is om dat wel toe te laten.

Lullig voorbeeld: Mijn bank-app kan niet bij de wachtwoord-database van mijn password manager, omdat de app van die password manager dat niet expliciet heeft toegelaten.

Het 'deblokkeren' van je telefoon, deblokkeert ook de credential store die in beveiligde chips van je telefoon zit. Zolang je telefoon versleuteld is, kan geen een proces bij die data.

Bovenstaande zijn een paar van de vele voorbeelden die mobiele besturingssystemen als 'basis' hebben. Desktops hebben in de praktijk teveel legacy om dit op een dergelijk niveau af te kunnen vangen. Microsoft doet hier overigens wel pogingen tot, maar die mechanismen werken alleen voor apps die via de MS Store worden gedistribueerd (en om een of andere reden lijken veel mensen dat principieel niet te willen gebruiken.) Als we naar het Linux-landschap bestaat er AppArmor en SELinux (afhankelijk van de distro-serie). Die mechanismen kunnen ervoor zorgen dat applicaties niet bij zaken kunnen waar ze niets te zoeken hebben. (luisteren op poorten, kernel-calls, enz.) In de praktijk lijken softwaremakers het alleen lastig te vinden, en laten hun software 'unconfined' draaien, waardoor er een gigantische beveiligingslaag wordt omzeilt. (het is er dus wel, maar het wordt niet gebruikt door softwaremakers)

De beveiliging van de mobiele besturingssystemen gaat dus een stuk verder op dit vlak. Als ik nu een dump zou kunnen maken van de data van de digid-app op mijn telefoon, en die naar een andere telefoon kopieer. Dan kan die app helemaal niets doen. (Hij zal niet eens opstarten).

Dit gezegd hebbende hebben mobiele besturingssystemen natuurlijk wel de neiging om gigantische hoeveelheden data te verzamelen over de gebruiker, en of het dan dus qua privacy beter is, laat ik even in het midden. Dat is weer een ander verhaal.


Disclaimer: Bovenstaande is bijzonder kort door de bocht, en mist allicht vitale details, maar als ik dat zou uitschrijven, dan krijg je echt hele lappen tekst.

[Aldy]

In de praktijk lijken softwaremakers het alleen lastig te vinden, en laten hun software 'unconfined' draaien, waardoor er een gigantische beveiligingslaag wordt omzeilt. (het is er dus wel, maar het wordt niet gebruikt door softwaremakers)

Geldt dit ook voor softwaremakers, die gevoelige applicaties maken?

[lenwar]

Ja, in mijn professionele ervaring helaas wel. Je ziet dat 'technologie-software' (even bij gebrek aan betere term van mijn kant) zoals cryptografie-software, ldap-bridges, anti-malware, enz. het wel hebben, maar bedrijf-applicaties vaak niet.

Denk bijvoorbeeld aan SAP HANA (het ERM-pakket) kan niet confined draaien.
https://community.sap.com/t5/technology-blog-posts-by-members/selinux-and-sap-hana/ba-p/13547102

Hun documentatie legt zelfs uit hoe je de directories van hun product kan uitsluiten van SELinux.

Het is in de praktijk zuivere laksigheid van bedrijven. Als je ziet hoe complex het bootproces is met SELinux aan, (hoeveel context-switches er zijn gedaan voordat je ook maar een shell prompt krijgt....) dan moet iedere willekeurige applicatie er gewoon prima mee overweg kunnen.

[Aldy]

De bank houdt zijn eigen app, die wordt niet vervangen door Digid, geen idee waarom jullie dat denken.

Ik zie nergens staan dat iemand denkt dat de bank app vervangen wordt door DigiD. Ik denk dat je het verkeerd interpreteert.

Het gaat bij banken en Google om vertrouwen

Over Google wil ik het al helemaal niet hebben, maar een bank vertrouwt jou voor geen cent. Jij moet wél vertrouwen in de bank hebben dat jouw geld veilig is bij hun, maar omgekeerd zal de bank aan alle kanten ervoor zorgen dat als jij geld nodig hebt hun zekerheid veilig gesteld is, d.m.v. een onderpand of de zekerheid van jouw vaste inkomen.

[Reactie gewijzigd door Aldy op 20 september 2025 17:05]

[bzzzt]

Vertrouwen is uit te drukken in geld (als in: hoeveel risico wil je lopen) en banken gaat het wel degelijk heel erg om geld.

Een telefoon die geroot is is niet in staat een sleutel op te slaan op een manier die niet relatief eenvoudig afgevangen kan worden. Voor een bank zijn er dan 2 mogelijkheden:
- of de gebruiker is extreem technisch en heeft passende maatregelen genomen
- of de gebruiker is gehacked en de telefoon is geen geschikte plek om sleutelgegevens op te slaan

Aangezien reden 2 in de praktijk een veel logischer verklaring is dan reden 1 EN de bank ook deels verantwoordelijk wordt gehouden voor geld wat bij hacks wordt buitgemaakt is het toch volledig logisch dat er wordt gekozen voor integriteitscontrole.
Ik denk ook niet dat dat zo'n controle per se een slecht ding is, maar dat het een open standaard zou moeten zijn waar meerdere partijen zich aan kunnen conformeren, zodat ook vertrouwen gesteld kan worden in legitieme OSS systemen. Het afschuiven op een 'ongrijpbare' implementatie van Apple of Google is inderdaad niet wenselijk.

[marcelvb]

Ja, maar wie is nou de klant? Ik vertrouwen bedrijven in het algemeen niet en zeker Amerikaanse techbedrijven niet. Moet mijn hele digitale leven via een Amerikaans techbedrijf getunneld worden?

Ik vind dit echt wel iets voor de Nederlandse of Europese mededingingsautoriteit. De burger/consument heeft heel weinig keuze of invloed hier. Probeer nog maar eens een NFC betaling te doen met je Android telefoon en een Nederlandse bank zonder Google Pay er tussen (kan niet).

[mvd64]

Beetje OT en niet via NFC maar wel zonder Google of Apple Pay, maar boodschappen doen kan via Lidl Pay.

[Steinvoorte]

Voor geen goud Lidl Pay ..... Je moet Lidl een machtiging geven dat ze zo geld bij je af kunnen schrijven. Ik haal wel mijn pinpas tevoorschijn.

Zie je het al voor je? Een betaal app op je telefoon per winkel?

[mvd64]

Want Apple en Google Pay zijn compleet anders? 🤷

[Steinvoorte]

Boodschappen kopen do ik bij een super. Mijn betalingen worden beheerd door een bank. Hardstikke goede scheiding van belangen en mijn informatie.

Laat Apple lekker telefoons maken en Google lekker zoeken, maar dat ze voor betaal verwerker gaan spelen is mij een doorn in het oog. Ze zijn nu zo groot met zoveel lobiisten dat ze de politiek helemaal inpakken. Terwijl onze vrijheden allemaal ingeperkt worden.

[Klauwhamer]

Maar wat maakt dat je via een telefoon gebruik moet maken van een Google 'seal of approval' maar op de desktop niet, en waarom ben jij daar een voorstander van?

Waarom zou een techniek überhaupt een vendor lock in moeten betekenen en waarom juich jij dat van harte toe? Het is alleen maar consument-onvriendelijk en onderdeel van Google's marketing. Android heeft namelijk precies dit op de planken liggen waarbij je geen afhankelijkheid hebt van Play Integrity; "Android provides a standard hardware attestation API with support for arbitrary roots of trust and alternate operating systems. This provides a higher level of security than the Play Integrity API. Play Integrity API strong integrity level is based on the standard hardware attestation API and is strictly less secure. By using the hardware attestation API, you can permit more secure operating systems like GrapheneOS. Play Integrity API is not truly a security check and permits devices with years of missing security patches. You will only be enforcing Google's business model, not any form of security. You should be defining the security and verification requirements and solely enforcing those, not Google's business model for licensing Google Play."

[Schway]

Ik ben er geen voorstander van, ik merk alleen op wat ik denk dat de reden is waarom Logius doet wat ie doet. Dat ik me kan inleven in logius en hun gedachtengang maakt niet dat ik het er mee eens ben, of voorstander ben van het gedrag van Google.

[Klauwhamer]

Dat is maar een gedeelte van de vraag die ik je stelde evenals de verduidelijking dat voor exact hetzelfde doel (strikt genomen zelfs beter) je alternatieven kunt toepassen als security je doel is, waarbij je níet vast zit aan Play Integrity en alle consumentonvriendelijke gevolgen die daar bij komen kijken.

Het is wat flauw dat je nu op het orgel van "duider zonder mening" gaat, nadat je eerder begint over "gevoelige snaren" en een kolderiek statement over "vertrouwen".

[Houtenklaas]

Dat heeft denk ik niets met een gevoelige snaar te maken en nog minder met vertrouwen. Deze DigiD keuze lijkt een OS keuze af te dwingen wat in 99% van de gevallen ook prima zal werken. Alleen niet bij mij, en ik vermoed zomaar dat ze mij niet kunnen dwingen tot die keuze als ze ook willen dat ik DigiD gebruik voor allerhande shizzle.

Mijn telefoonkeuze voor dit moment zijn Jolla en Ubuntu Touch - wat gewoon legitieme keuzes zijn - dan zou het wel gek zijn dat DigiD voor mij niet meer werkt. Dat kost bij een rechter nog geen 5 minuten om dat uit te leggen. ING bijvoorbeeld heeft een "reader" voor dit soort dingen, zodat je daaromheen kan werken en dat is prima.

[StefanJanssen]

Want een browser gebruiken op een onbekend besturingssysteem is een stuk betrouwbaarder dan een app op een onbekend besturingssysteem?

Bij browser gebruik heb je meer kans op phishing (door typefouten in de URL) dan bij een app, en zou dus minder vertrouwd moeten zijn.

Ik denk dat iemand die er voor kiest zijn toestel te rooten en/of er een ander OS op zet weet wat de consequenties zijn, dat bepaalde apps zoals bankieren daar moeilijk mee gaan doen, en deze afweging maken.

Tegenwoordig kun je zonder problemen een /e/os telefoon kopen bij een officiële FairPhone verkoper zonder goed het verschil te weten tussen googled en degoogled Android. Dus dit argument vind ik erg zwak, zeker als je dan ook het bekende PC argument er naast legt.

[Steinvoorte]

Maar waarom zou de DigID app op een Fairphone alleen werken op een Google versie en niet op een gegoogled versie?

Stel dat DigID een app zou uitbrengen voor Linux met TPM ondersteuning. Top. Veel veiliger dan een browser gebruiken op je PC. Conical maakt een API beschikbaar zodat DigID kan controleren of je Ubuntu installatie veilig is. Dus werkt de DigID app in ene niet meer op Debian Arch of Mint.... Dat is toch gek?

[Reactie gewijzigd door Steinvoorte op 19 september 2025 19:36]

[StefanJanssen]

dat ben ik volledig met je eens en zeg in het eerste gedeelte van mijn post vrijwel hetzelfde.

Ik beargumenteerde alleen dat je tegenwoordig zonder enige kennis een degoogled telefoon kan kopen (en dat dat zelfs per ongeluk kan gaan), dus het argument van "bewuste keuze" niet altijd klopt.

[Bas van Pelt]

"Vertrouwen komt van twee kanten, en als je niets geeft, krijg je ook niets terug."

Nee: vertrouwen is juist asymmetrisch.
Zoek het maar eens op, bijv https://trustedadvisor.com/trustmatters/why-trust-is-asymmetrical-and-what-that-means-for-trust-strategies

[baseoa]

De vrijheid om te weten welke software er draait op de mobiele camera/microfoon die ik altijd bij me draag, en steeds vaker moet dragen (bijvoorbeeld als geldig vervoersbewijs of bij de aankomende leeftijdschecks of voor digid nu), is wel een gevoelige snaar ja. Wie wil er nou dat zijn/haar vrijheden worden uitgehold en er door de overheid c.q. google wordt voorgeschreven welke software je wel en niet mag draaien op je eigen toestel? Dat klinkt naar chinapraktijken

[grasmanek94]

Waarom blokkeert een bank dan niet bankieren op Windows en op Linux (via een webbrowser)?
Op die machines kan de bank met niemand vertrouwen hebben want daar zijn de gebruikers nou eenmaal Administrators en geen mogelijkheid van de bank om iets anders af te dwingen.
Er valt daar niks te vertrouwen of met een vertrouwd bedrijf samen te werken.. nul, nil, nada, dus waarom staan ze het toe?

[keranoz]

Je hebt geen Google account nodig voor Play Integrity. Je moet wel Google Play Services danwel MicroG hebben (MicroG heeft wel wisselend succes), maar je hoeft er niet per sé ook een Google account aan te koppelen.

[Fuzzillogic]

Maar je moet wél Googles licentievoorwaarden accepteren. Om overheidsdiensten te koppelen aan licentievoorwaarden van een (en in dit geval één, en tevens Amerikaanse) derde partij is imo principieel fout.

(Ja, ook GPL zijn licentievoorwaarden, maar deze zijn ter bescherming van de rechten van de gebruiker, niet van de auteur)

[TheVMaster]

Tja, maar als je Linux installeert op je pc, kun je dan ook de TPM benaderen/gebruiken? Als dat het geval is, dan zou je van Android/Google mogen verwachten dat ze dit ook kunnen implementeren. De vergelijking dat je gewoon Linux of Windows kunt installeren en dan je bankzaken kunt doen kan ook op een telefoon, via de webbrowser (verwacht ik), maar als je de apps wilt gebruiken dan zul je moeten voldoen aan bepaalde veiligheidseisen en op Android betekend dit dan dat je moet voldoen aan hun richtlijnen.

[small]overigens betaalgegevens gaan bij Apple niet [i]via[/i] Apple servers, weet niet waarom dat iedere keer weer komt bovendrijven. Google en Apple hebben hun respectievelijke Pay flows beide op een iets andere manier ingericht voor zover ik weet.[/small]

[readefries]

Bedoel je een soort van Secure Boot implementeren op Android?

[TheVMaster]

Secure Boot en TPM zijn niet hetzelfde, al zal Secure Boot vast iets doen met keypairs die in de TPM opgeslagen staan, al weet ik dat niet helemaal zeker.

Maar vergelijk met de Secure Enclave op iOS, volgens mij is er ook zoiets op Android? Maar goed, bij een geroot OS is vast niet meer te garanderen dat het verkeer tussen dat secure element en de bank app niet kan worden afgeluisterd. Overigens, wordt een vingerafdruk in Android daar ook niet in opgeslagen, of hebben niet alle Android toestellen zo’n chip?

[darkfader]

De meeste Android toestellen hebben wel een trusted execution environment (TEE) in de ARM chip, maar wellicht niet allemaal bevatten ze de benodigde software/certificaten/keys.

[CAPSLOCK2000]

Maar vergelijk met de Secure Enclave op iOS, volgens mij is er ook zoiets op Android? Maar goed, bij een geroot OS is vast niet meer te garanderen dat het verkeer tussen dat secure element en de bank app niet kan worden afgeluisterd.

Je legt de vinger precies op de zere plek, de software tussen de applicatie en de hardware. Alles wat je in hardware kan doen, kun je ook in software simuleren of imiteren en dus ook afluisteren. In de kern is zo'n TPM/Secure Enclave niet meer dan een stukje storage met wat sleutels, en de veiligheid is afhankelijk van het vermogen om die sleutels geheim te houden.

Je kan niet controleren of die sleutels (en alles wat er van afhangt) echt in hardware zitten of uit software komen. Dat is fundamenteel niet oplosbaar en dus moet de hele softwarestack dichtgetimmered worden zodat het in praktijk te lastig is om iets te veranderen zonder dat er alarmbellen afgaan (bv met Secure Boot). De facto is dat een versterking van het Apple/Google/Microsoft-imperium. Het is voor nieuwe bedrijven vrijwel onmogelijk om daar nu nog tussen te komen. Zelfs als je een functioneel identiek OS ontwikkelt dat op bestaande harware draait (zoals de verschillende Android-afstammelingen) zullen applicaties weigeren te functioneren omdat jouw OS niet met de juiste sleutels getekend is. (Ik verwacht dat dit in de toekomst ook naar websites wordt uitgebreid, en dat je de website van je bank bv alleen mag bezoeken met een "goedgekeurde" browser op een "goedgekeurd" OS.)

Ik heb op zich geen problemen met TPM/Secure Enclave/HSM/YubiKey...., technisch gezien doen die goed werk en ik maak er graag gebruik van. Ik heb wel grote problemen met het dichttimmeren van het OS en het verankeren van de marktpositie van die bedrijven. Die krijgen zo een absolute macht om te bepalen wat we wel en niet met onze apparaten en software mogen doen. Dat is te veel macht voor een bedrijf. Als we al zo'n wereld willen zou die macht bij de overheid moeten liggen. Dat roept weer vragen op over hoeveel controle de overheid moet hebben over de software die we gebruiken om te communiceren, onze mening te uiten, nieuws te lezen, politiek debat te voeren, etc...

[TheVMaster]

Maar je kunt op een PC ook gewoon Linux installeren en die kan (zoals ik begrijp) ook gewoon gebruik maken van de TPM chip. Je kunt zelfs secure boot gebruiken bij (sommige?) Linux smaken. Dus om nu te stellen dat de positie van OS leveranciers versterkt wordt vind ik dat licht wat overdreven.

Bij mobieltjes zal het op dit moment vast nog wel zo werken, maar ook daar zijn vast oplossingen voor te bedenken als je zo nodig een ander OS zou willen installeren op je Android toestel.

[CAPSLOCK2000]

Maar je kunt op een PC ook gewoon Linux installeren en die kan (zoals ik begrijp) ook gewoon gebruik maken van de TPM chip. Je kunt zelfs secure boot gebruiken bij (sommige?) Linux smaken. Dus om nu te stellen dat de positie van OS leveranciers versterkt wordt vind ik dat licht wat overdreven.

Bij mobieltjes zal het op dit moment vast nog wel zo werken, maar ook daar zijn vast oplossingen voor te bedenken als je zo nodig een ander OS zou willen installeren op je Android toestel.

In theorie heb je gelijk, maar in praktijk werkt het toch anders.

Het klopt dat je Linux kan booten met "Secure Boot" maar je krijgt niet de "Secure" status. De Secure Boot oplossing is namelijk een enorme hack, het is een dummy bootloader die door MS gesigned is die alles boot wat je wil. Het geeft geen enkele bescherming. Technisch gezien werkt Secure Boot dus wel, maar je hebt er niet veel aan als applicaties een "veilig" systeem eisen en dus niet op jouw Linux-systeem werken.

In theorie is het systeem heel flexibel en kun je je eigen keys gebruiken. Het probleem is alleen dat (bv) Logius die keys niet kent. In praktijk kennen applicaties alleen de keys van de OS-leverancier waar de applicatie voor gebouwd is (apple/google/ms). Zeker als je de tools van die leverancier gebruikt om je applicatie te bouwen, zoals vrijwel iedereen doet.

In praktijk betekent het dat een partij als LineageOS dus aan Google moet vragen om hun key op te nemen in de lijst van vertrouwde sleutels en dat doet Google niet, om op zich heel begrijpelijke redenen.

Ik weet niet of ik het zo goed overbreng. De samenvatting is dat de TPM-chip op zich prima werkt onder alternatieve OS'en, maar dat applicaties het gebruik niet toestaan omdat het OS niet wordt herkend.

[TheVMaster]

Ja klinkt wel logisch overigens. Eigenlijk zou Android, maar ook Apple en hardware leveranciers signatures van OS leveranciers (en ik snap best dat ze niet de van alle leveranciers kunnen opnemen) moeten opnemen. Ik weet dat ik op Windows pc’s vaak kan kiezen tussen meerdere Secure Boot keys? Als ik een Ubuntu install doe en ik de Microsoft key kies voor hij namelijk niet, dit zie ik overigens eigenlijk alleen als ik met vm’s in Hyper-V bezig ben. Geen idee of het ook in hardware van bv. HP of Dell aanwezig is.

[Reactie gewijzigd door TheVMaster op 21 september 2025 20:12]

[The Zep Man]

Tja, maar als je Linux installeert op je pc, kun je dan ook de TPM benaderen/gebruiken?

Natuurlijk. Het is niet alsof de TPM exclusief voor Windows is ontwikkeld.

[GertMenkel]

Het blijft vervelend dat apps zonder reden in zulke situaties op zwart gaan. Ik heb diverse telefoons met custom ROMs. Een daarvan heeft Android 5 als laatste update gehad, een ander Android 9, maar beide zijn met Android 11 en Android 15 toch een stuk beter beveiligd dan zoals ze uit de fabriek kwamen. Toch krijg ik regelmatig het verwijt dat mijn telefoon "niet veilig genoeg" is. Ik kan ze wel weer "veilig" maken, maar dan loop ik alleen maar risico. Het ergste is misschien nog wel dat die telefoons niet eens geroot zijn.

Deze feature is blijkbaar jarenlang niet belangrijk genoeg geweest voor Digid terwijl de feature effectief sinds Android 7 al beschikbaar is. Ik denk dat de afweging dan ook gemaakt moet worden of de toegevoegde beveiliging hier de nadelen wel waard is.

Als je deze feature goed implementeert, betekent dat dat een lek bij de maker van je telefoon jouw telefoon met de nieuwste/laatste versie van de officiële software hetzelfde wordt behandeld als lineageos-unofficial-ferysekure.zip: als de private key die de hardwaresleutel tekent lekt, moet die worden ingetrokken, en daarmee ook alle sleutels van alle telefoons die met die hardwaresleutel geproduceerd zijn. Aangezien het een hardwaresleutel is, kun je als fabrikant ook geen software-update meer maken die het probleem rechtzet. Zo kun je in één klap je Digid-toegang voor bepaalde diensten kwijtraken zonder dat je ook maar iets geks met je telefoon gedaan hebt.

[kodak]

Het feit dat er gevolgen kunnen zijn wil niet zeggen dat die gevolgen redelijk zijn. En daar is de situatie waar @GertMenkel het over heeft een voorbeeld van.

Het feit dat je als consument eigenaar van een product zoals een smartphone bent wil dus zeggen dat de gebruiker wettelijk rechten heeft om daar rechten op te krijgen die verder gaan dan bijvoorbeeld een overheid wil. Maar dat maakt het eerder een probleem van de overheid om dan maar een trusted device te leveren waar de gebruiker geen recht heeft, niet andersom.

[The-Source]

Daarom kan je bij een unlocked bootloader ( met of zonder root) vaak al diverse betaal opties van Google Pay niet gebruiken. Ja je kan het weer verbergen voor de software maar dat is een kat en muis spel. Vermoedelijk zal DigiD software ook gaan inkoppellen op de Google Play Services status om te bepalen wat de status is.

[GertMenkel]

Naast Google's implementatie bevat Android ook een implementatie van de verificatie die nodig is, een die ook met custom ROM's bruikbaar is mits de maker van de app van het bestaan van die ROM weet. Zie de uitleg van GrapheneOS daarover: https://grapheneos.org/articles/attestation-compatibility-guide. Die uitleg is in principe om apps bruikbaar te maken met LineageOS, maar ook CalyxOS of andere custom ROM's die wat om security geven, kunnen op die manier hun hashes publiceren.

Het grote nadeel is dat geroote telefoons en ROM's wiens veiligheid niet gegarandeerd kan worden (bijvoorbeeld omdat de bootloader ontgrendeld is) praktisch altijd buitengesloten moeten worden, zelfs met het hashingsmechanisme, omdat je anders gewoon geen voordeel haalt uit key attestation.

Overigens is dit volgens de aankondiging alleen van toepassing op logins die de ID-check vereisen. Je kunt met je custom ROM dus nog steeds op de meeste websites inloggen: alleen niveau's Substantieel en Hoog zullen hiermee worden uitgesloten, en veel overheidsdiensten en -functies werken met Laag. Volgens de analyse van de Vereniging van Nederlandse Gemeenten wordt Subsantieel of hoger pas een probleem als je met politiegegevens of schade van 1000 euro of meer bezig gaat.

[Vaevictis_]

De volgende stap is zometeen device attestation zoals paar banken apps nu al doen, dat is heel naar als je een custom rom hebt of een telefoon van onbekende maker (Chinees). Grote kans dat het dan niet meer gaat werken.

Security is goed maar als je hiermee mensen uitsluit kan dat nooit de bedoeling zijn.

[yevgeny]

Is er zoveel fraude met digid dat deze security maatregelen nodig zijn ?

Voor normaal gebruik wordt digid namelijk steeds gebruikers onvriendelijker, je moet door allerlei hoepels springen om het te kunnen gebruiken.

Ook heeft niet iedereen recente telefoons, in mijn omgeving worden nog toestellen met android 5 gebruikt voor bellen/sms/whatsapp/rekenmachine en andere simpele apps.

[Reactie gewijzigd door yevgeny op 19 september 2025 15:26]

[Junketsu]

Even serieus, Android 5? De security support is al 7 jaar geleden opgehouden, in maart 2018. https://endoflife.date/android

[yevgeny]

Zolang whatsapp het doet zijn toestellen bruikbaar.

Mensen wordt geld afhandig gemaakt door snelle babbelaars met een zielig verhaal, nepagenten enz niet omdat hun telefoon te oud is.

[bzzzt]

Best wel. Helaas.
Vorig jaar nog: https://www.security.nl/p...lijk+misbruik+ingetrokken

[GertMenkel]

Identiteitsdiefstal hoeft niet op technische manier te gebeuren. Er worden genoeg ID-kaarten gestolen, activatiebrieven in de post onderschept, en gebruikersnaam+wachtwoordcombinaties gehackt omdat Karel1982 toch geen veilig wachtwoord bleek te zijn en dat tweefactorverhaal is alleen maar lastig voor veel mensen.

Deze oplossing werkt specifiek tegen malware die je toestel-besturingssysteem aanpast om root-toegang te verkrijgen, of tegen dieven die een kwetsbaarheid in de bootloader van je telefoon misbruiken om de software van je besturingssysteem zelf aan te passen.

Dat is een reële aanvalsfactor als je bijvoorbeeld je telefoon afgeeft aan de Amerikaanse of Chinese douanebeambte, maar ik betwijfel dat er op die manier vaak Digid-accounts worden gestolen.

[bzzzt]

Voor zaken die rechtsgeldig ondertekend moeten worden zoals je belastingaangifte is het belangrijk zeker te weten dat dit niet door iemand met een gelekt password is gedaan. 2FA is voor dergelijke belangrijke toegang absoluut nodig, daar is helemaal geen discussie meer over in security kringen.
De DigiD app maakt dat 2FA deel een stukje uniformer.

Device attestation werkt helemaal niet tegen malware. Het enige wat het 'bewijst' aan de andere kant is dat er een bepaald standaard OS is geinstalleerd wat op dichtgetimmerde systemen zoals iOS of fabrieks-Android betekent dat de kans op manipulatie en lekken van de sleutels kleiner is omdat die voor de gebruiker niet toegankelijk zijn.
Het niet hebben van volledige toegang tot het OS is dan wat het qua security iets minder risicovol maakt voor partijen als banken (maar ook bv audio/video streaming diensten die content met DRM beveiligen).

[Steinvoorte]

Dus als ik het goed begrijp werken de apps dus alleen maar op systemen waarvan het beheer bij Apple, of Android tel fabrikanten ligt. Zodra je dus zelf beheer wil uitvoeren of controleren, dan is dat niet mogelijk. Wie is er dan eigenaar? Wie bepaald dat je telefoon vervangen moet worden?

Een laptop beheerd door je werk is ook van je werk. Een laptop die je zelf koopt beheer je zelf....

Maar bij tablets en telefoons is dat dus niet het geval. En als je zelf beheer op je neemt vertrouwen de banken en DigID je device in ene niet meer? Heel heel gekke situatie... Onder het mom van wij(Google en Apple) zijn experts en het gewone volk is dom. Wat bij politici wel handig is. Echter nieuwkomers worden uitgesloten graphene OS is of eOS. Terwijl het juist aangemoedigd zou moeten worden de concurentie. Dat is toch het idee van een vrije markt?

[Reactie gewijzigd door Steinvoorte op 19 september 2025 21:14]

[wiseger]

Graphene OS en e/OS zijn geen nieuwkomers en ook geen eigen OS. Het is gewoon AOSP dat volledig afhankelijk is van Google. Zodra Google stopt met AOSP ondersteuning is het klaar.

De consument heeft zelf BlackBerryOS, SymbianOS en Windows Mobile laten vallen als een baksteen. Daarom heb je nu alleen nog Android of iOS. Al komen er straks wel Chinese mobiele OS-en bij.

[Steinvoorte]

Op dat moment hadden Apple en Google een betere strategie en zoals heel begrijpelijk gaat een bank niet een app ontwikkelen voor 3% van hun klanten bestand. Maar nu is het een Duopoli die Google en Apple hebben. En ondertussen trekken ze steeds meer naar zich toe. Banken met Google Pay en Apple Pay, maar ook overheidsdiensten met play integrity. Nog even en de overheden bepalen niet meer hoe je digitale leven gaat, maar Big Tech. Die niet democratisch gekozen is en uitvoerende en controlerende macht zijn. Probeer als consument maar eens je recht te halen bij Apple of Google..... Ze zijn niet alleen een mobiel OS ontwikkelaar maar integreren alles met elkaar en drukken concurrerende apps uit de markt.

[wiseger]

Je recht halen kan alleen bij de verkoper. Over het algemeen worden iPhones en Pixel telefoons niet door Apple en Google verkocht.

Bij Samsung, Xiaomi en al die andere fabrikanten, geldt dat al helemaal. Google staat geheel buiten dat verkoopproces.

Dus 'je recht halen' is nauwelijks een issue te noemen.

[Steinvoorte]

Nou ik zie dat toch anders. Op het moment dat Google vind dat ik hun regels overschrijdt, kan zonder pardon mijn account de nek om gedraait worden. En dat is toch wel een serieus probleem vlak voor de belasting aangifte die ik moet indienen, of hypotheek betaling die gedaan moet worden... Ik weet dat er andere mogelijkheden zijn met een browser, een andere telefoon met een nieuw account....

En allemaal verschillende Android merken, maar uiteindelijk is het of Google of Apple. En niet de keuze voor iOS of Android of /e/OS of Graphene OS met daarop de keuze voor mijn betalingverwerker of overheid applicaties.

[wiseger]

Je hebt het nu over accounts. Dat zijn digitale services en die vallen onder de DSA. Google mag die helemaal niet zomaar blokkeren.

Als een account wordt geblokkeerd of verwijderd, moet Google een gedetailleerde uitleg geven, inclusief de reden voor de beslissing.

[Steinvoorte]

Klopt dat ik het over een account heb. Een Apple telefoon werkt niet zonder Apple ID en ik kan ook geen DigID app downloaden uit de Playstore downloaden zonder account. Het zit veel te veel verweven. Eu heeft al browser keuze verplicht en zoekmachine keuze. Ik ben van mening dat dit ook moet kunnen voor hardware keuze los van OS en los van betaling verwerking en los van RCS pushen in SMS app etc, etc, ....

[wiseger]

Digid werkt prima in een browser. Een app is niet noodzakelijk om Digid te gebruiken.

Apple verkoopt een smartphone, geen losse hardware en een los mobiel OS. Het is een geheel. Net zoals Tesla geen losse FSD verkoopt, net zoals Samsung televisies met Tizen erop verkoopt.

Wilt u een hardware en het mobiel OS gescheiden, dan is wellicht een Fairphone iets voor u?

[Steinvoorte]

Ik begrijp dat DigID in een browser kan, maar niet zo makkelijk als een DigID app. Even bij LTT kijken, daar is een "Full Self driving" systeem wat je met een zuignap aan je voortaan hangt van een standaard auto en op vergelijkbare manier werkt als een Tesla.

Samsung en smart TV in het algemeen is kwalitatief uitermate teleurstellend hoelang het smart gedeelte ondersteund wordt en reclame door je strot geduwd wordt. Van de week een 15 jaar oude LCD vervangen door een gerepareerde grotere TV. Echt niet dat die ooit aan het internet gaat. Een groot security risico voor het netwerk

Getypt van een Fairphone. Hoe wist je dat? Haha

[baseoa]

Google staat geheel buiten dat verkoopproces.

Google vereist onder andere dat fabrikanten hun toestel vergrendelen, anders mogen ze er geen Play Store op aanbieden (bron). Je kan aan het marktaandeel van Huawei zien hoeveel toestellen je nog verkoopt als er geen Google-diensten op staan. Fabrikanten in de westerse wereld (die niet ook in China groot zijn) worden dus gedwongen om met Apple of Google in zee te gaan (waarbij Apple weigert de software te licenseren, dus is Google de enige optie), of ze kunnen de tent wel sluiten. Een vrije keuze is dat niet. Ik snap daarom heel goed wat @Steinvoorte bedoelt met dat het Google is die aan de knoppen zit van je digitale leven

[Reactie gewijzigd door baseoa op 20 september 2025 00:16]

[wiseger]

Dat begrijp ik maar Google verkoopt geen Android aan klanten, ze leveren alleen aan fabrikanten. Met de koopovereenkomst van de smartphone hebben ze niets te maken.

De digitale diensten van Google vallen onder de DSA. Daar moeten ze zich aan houden.

Fabrikanten kiezen zelf voor hun OS. Samsung zat notabene in het Symbian consortium. Zijn ze zelf uitgestapt.

Ook kunnen ze kiezen voor AOSP met hun eigen store.

Geloof dat ze zelfs nog bezig geweest zijn met Tizen OS voor de smartphone.

[Houtenklaas]

Happy camper hier met Jolla en Ubuntu Touch. En daarmee behoor ik denk ik tot max 1% van NL met een afwijkend OS, maar Logius heeft daar geen inspraak in. En inderdaad vermoed ik dat Harmony daar nog wel bij gaat komen. Maar er zal altijd een harde kern zijn die ze niet kunnen uitsluiten vanwege overheidszaken ...

[Houtenklaas]

Precies om de reden die je noemt, zal het dan ook nooit 100% af te dwingen zijn dat je Google of Apple moet gebruiken. Ik ben gebruiker van Jolla en Ubuntu Touch en geen gebruiker van Apple of Google. En omdat ik deze keuze kan en mag maken, is het dan ook niet af te dwingen dat Logius iets dergelijks doorvoert. De weg is om deze reden dan ook een heilloos pad. Ik denk dat iets van 97-99% van NL Android of Apple gebruikt en daar zal dit prima voor werken. Maar die ene procent nekt ze. Of ze gaan daar akkoord met een lagere beveiliging of ze verzinnen wat anders. DigiD is noodzakelijk voor een aantal zaken en is geen keuze om het wel of niet te gebruiken.

De oplossing die werkt is het kunnen uitlezen van rijbewijs/ID/paspoort met een losse kaartlezer. Dat kost wat, maar maakt je los van OS discussies die je m.i. als bedrijf nooit zal winnen. Niemand kan jou dwingen om aan Android/Apple toestel te moeten bezitten, dat die max. x jaar oud mag zijn, of überhaupt het bezit van een mobiel afdwingen.

[wiseger]

Maar dat hoeft ook niet. DigiD werkt prima via een webbrowser. De app is zeer handig maar niet noodzakelijk.

De keuze ligt bij de consument.

[GertMenkel]

Het lijkt me logisch dat je 2FA nodig hebt voor overheidszaken, maar dat het per se via een aparte app moet is natuurlijk maar de vraag. Op een apparaat met de juiste lezer een een nieuw genoeg paspoort of ID-kaart kun je 2FA ook uitvoeren met je identiteitsbewijs, maar als je de Digid-app gebruikt, heb je geen lezer voor handen.

Strikt gezien werkt device attestation niet tegen willekeurige malware. Het pakt rootkits en bootkits en dat soort zaken op, maar niet per se een "normale" malware-app. Play Integrity, de API die zo'n beetje iedereen op Android gebruikt voor attestation, doet echter ook een malwarecheck; specifiek wordt er gekeken naar de staat van Play Protect, welke dan (volgens Google) weer mer hardwaresignalen wordt geverifieerd.

Natuurlijk kan malware de antivirusscanner van Google omzeilen, maar root krijgen op Android zonder de boot- of systeempartitie aan te passen is tegenwoordig verdraaid lastig. Dat is dan ook waarom de exploit-APK's/SuperOneClick van het Android 2-tijdperk tegenwoordig vervangen zijn door bootloaderpatches en wijzigingen aan de basis-ROM.

Een groter risico bij de meeste custom ROM's/apparaten is dat de bootloader niet vergrendelbaar is. Bij het ontgrendelen van je bootloader wordt de encryptiesleutel van je opslag gewist waardoor je al je data kwijt raakt en niet zomaar stiekem malware kan plaatsen. Bij veel telefoons kan je de bootloader niet locken na het vervangen van de ROM, en kan iedereen met fysieke toegang dus je wachtwoorden/sleutels/Digid stelen door het systeem te modificeren.

Ook draaien veel LineageOS-afgeleiden in userdebug-modus, welke met een simpele "adb root" te rooten is. Dat is een keuze van degene die de ROM's bouwt.

[Houtenklaas]

Dit dus. Doe mij maar een USB lezer die de chip in mijn ID of rijbewijs kan uitlezen en laat een mobiel OS volledig buiten schot. Eisen stellen aan apparatuur die van een gebruiker is, is bij voorbaat een vervelende omdat je als bedrijf jouw eisen nooit zal kunnen afdwingen, dat is wellicht voor 98% wel een oplossing, maar nooit voor de volle 100% die wel nodig is voor dit soort toepassingen. Of een kaartlezer waar je je rijbewijs/ID moet insteken ... Is ook voor minder digitaal vaardige mensen te hanteren. En ja, dat kost wat hardware inderdaad, maar potentieel toepasbaar op alles met een USB poort, onafhankelijk van het onderliggende OS.

[GertMenkel]

Doe mij maar een USB lezer die de chip in mijn ID of rijbewijs kan uitlezen

Voor twee tientjes koop je op bol.com een NFC-ID-kaartlezer. Een ID/paspoort regelen dat daarmee werkt (uitgegeven na 2021) of een modern chiprijbewijs kost je meer.

[Houtenklaas]

Aangezien iedereen boven de 12 een ID bij zich moet hebben op straat is dat al geregeld. Maar ook dat zal dan ondersteund moeten worden vanuit Logius als mogelijke authenticatie en dat kan volgens mij (nog) niet.

En daar moet ik mezelf corrigeren. Dat kan dus WEL. Met mobiel en NFC, of kaarlezer met NFC. I stand corrected.

[Reactie gewijzigd door Houtenklaas op 19 september 2025 23:17]

[GertMenkel]

Als je je ID net in het verkeerde tijdperk vernieuwd hebt, zoals ik, heb je wel een chip in je ID maar niet eentje die ook met Digid werkt. Hetzelfde geldt voor rijbewijzen.

Ik, net als vermoedelijk vele andere Nederlanders, zal dus een paar jaar moeten wachten voor ik hier gebruik van kan maken, tenzij de app besluit mijn apparaten van Digid te kicken; dan zal ik noodgedwongen vervroegd een nieuw document halen om van het gezeik af te zijn.

[Houtenklaas]

Ik zie het, zowel ID als rijbewijs hier ook van voor 2021. Maar goed, daar is in ieder geval een oplossing voorhanden. Of tot oktober 2027 wachten of eerder een paar tientjes ertegenaan gooien, dat is het mij ook wel waard.

[baseoa]

als je de Digid-app gebruikt, heb je geen lezer voor handen.

Wacht, hoezo niet? Vrijwel elk toestel heeft een NFC-lezer, dus heeft vrijwel iedereen met de Digid-app ook zo'n chiplezer in handen. Het is dan die chip in je identiteitsbewijs die de data beheert en requests digitaal kan ondertekenen (challenge-response-systeem). De telefoon hoeft, net als bijvoorbeeld de internetprovider, niet vertrouwd te worden omdat het dan alleen als doorgeefluik functioneert

België heeft dit met CSAM (waar je met eID kan inloggen en dat als hoge beveiliging wordt aangemerkt; Wikipedia zegt dat tweederde van de CSAM-logins deze inlogmethode gebruiken), Duitsland heeft AusweisApp (zelfs open source), bijvoorbeeld hier te installeren voor Ubuntu: https://launchpad.net/ubuntu/+source/ausweisapp2

[Reactie gewijzigd door baseoa op 20 september 2025 00:30]

[GertMenkel]

Mijn tablet doet geen NFC en ook veel (goedkopere) telefoons doen geen NFC. Verder vereist NFC op de mobiel nog steeds de app (althans, als ik op digid.nl probeer in te loggen), zelfs op een toestel met NFC ingebouwd. Nu kan ik de flow niet afmaken omdat mijn documenten te oud zijn om door dit mechanisme ondersteund te worden, maar zonder app kom ik er op mijn telefoon helaas niet in.

In principe is het natuurlijk technisch gewoon mogelijk, maar zoals Digid nu lijkt te werken is het is nog niet zo makkelijk in de praktijk. Hopelijk gaan meer mensen dit gebruiken want ik vind het smartcardmodel een stuk beter en makkelijker dan de app-flow eerlijk gezegd.

Daarnaast heb ik eigenlijk geen zin om meer dan 50 euro uit te geven aan het vervroegd vernieuwen van mijn ID-kaart omdat die is uitgegeven voor de nieuwe chips geïntroduceerd werden, en ik zal niet de enige zijn.

offtopic:
Dit is de eerste keer dat ik "CSAM" in deze context zie. Ik ken de term vooral uit artikelen over enge wetgeving waar de afkorting wordt gebruikt voor "child sexual abuse material", een moderne afkorting voor kinderporno. Wat een onfortuinlijke samenloop van afkortingen

[baseoa]

Re: CSAM, ja dat is 's werelds ongelukkigste naamkeuze. Ik kwam er (als Nederlander) enkele maanden geleden pas achter dat België hun overheidsdienst zo noemt en ben nog steeds half in denial

In principe is het natuurlijk technisch gewoon mogelijk, maar zoals Digid nu lijkt te werken is het is nog niet zo makkelijk in de praktijk.

Ah zo ja, dan snap ik helemaal wat je bedoelde. Technisch kan het, maar DigiD houdt van goede oplossingen actief tegenwerken met eigen appware 😥

[TheVMaster]

Eh, maar de DigiD app kan gewoon de chip op je rijbewijs of paspoort lezen, dus waarom zou je hiervoor aparte hardware nosig hebben?

[GertMenkel]

Dat kan hij inderdaad, maar als de changelog klopt, werkt dat niet meer als key attestation niet meer werkt.

Losse hardware is nodig voor PC's/tablets/telefoons zonder eigen NFC-lezer. Daarmee kun je ook zonder app met je rijbewijs op Digid inloggen.

[baseoa]

Uit dat artikel: [quote]Een verklaring voor de toename wordt echter niet gegeven.[/quote]

Goede bron dan om aan te tonen dat toegang hebben tot je eigen telefoon de oorzaak van een of ander probleem is

[TheVMaster]

Mwah, dat valt toch reuze mee? Gewoon de DigiD App op je telefoon installeren en configureren. Maar je wilt de beveiliging van de app (en de impact die het gaat hebben als er misbruik gemaakt kan worden van de app/data) toch wel op een zeker niveau hebben.

Overigens vraag ik mij af wat jij bedoelt het het gebruikers onvriendelijker worden van de App. Op iOS valt dit reuze mee.

[comecme]

Maar zolang je ook nog met sms als 2e factor kunt inloggen valt die veiligheid toch wat tegen.

[baseoa]

[quote]Gewoon* de DigiD App op je telefoon installeren en configureren[/quote]
* Bij een door Google of Apple beheerd toestel

Als je toegang hebt tot je eigen hardware dan werkt dit niet meer "gewoon"

[TheVMaster]

Een door Google of Apple beheerd toestel? Mijn iPhone wordt niet beheerd door Apple. Apple bouwt het OS en zorgt voor updates, maar ik beheer mijn toestel toch echt zelf, of eigenlijk mijn werkgever dus.

[baseoa]

Ze kunnen ermee doen wat ze willen en jij niet. Als zij besluiten dat Signal malware is dan gaat dat van je telefoon af en je kunt er niks tegen doen als je geen beheerrechten op het toestel hebt. Hoezo zie je dat niet als door hun beheerd?

[TheVMaster]

Eh…ik weet natuurlijk niet hoe het bij Android is, maar ik ken zo geen verhalen van apps die door Apple van iPhones zijn verwijderd. Maar jij hebt hier vast voorbeelden van dan? Mijn werkgever beheerd mijn toestel wel, maar zelfs zij kunnen geen apps verwijderen van mijn toestel. Wel kunnen ze dat ik aan bepaalde eisen moet voldoen om toegang te krijgen tot bedrijfsresources, zoals bijvoorbeeld bepaalde apps niet toestaan.

Ben wel benieuwd namelijk naar voorbeelden waarbij Apple apps verwijderd van telefoons.

[Reactie gewijzigd door TheVMaster op 21 september 2025 20:06]

[beerse]

Voor zover ik ervaar is digid nog best wel flexibel met de benodigde android versie, zeker als je het vergelijkt met de bank-apps. Wel zijn de mogelijkheden bij deze oudere toestellen een stuk minder. Je belasting formulier invullen lukt nog wel maar een nieuw paspoort aanvragen net niet. Dan moet je voor het nieuwe paspoort toch naar het gemeentehuis.

[update] Het blijkt bij de verlenging van een rijbewijs te zijn waarbij/waarvoor ik mij met digid, nfc en paspoort moest legitimeren: https://www.denhaag.nl/nl/rijbewijs/rijbewijs-verlengen/#nodig-bij-de-online-aanvraag

[Reactie gewijzigd door beerse op 20 september 2025 13:14]

[yevgeny]

Volgens deze website van de rijksoverheid moet een paspoort altijd persoonlijk aangevraagd worden.

https://www.rijksoverheid.nl/onderwerpen/paspoort-en-identiteitskaart/vraag-en-antwoord/waar-en-hoe-kan-ik-een-paspoort-of-identiteitskaart-aanvragen

[beerse]

Toegegeven, voor een paspoort is het bij de aanvraag blijkbaar niet nodig om je zo gedetaileerd te legitimeren... Maar bij een rijbewijs verlengen wel: https://www.denhaag.nl/nl/rijbewijs/rijbewijs-verlengen/#nodig-bij-de-online-aanvraag

[Wilke]

Maar de grote vraag: waarom ondersteunt DigiD nog steeds geen TOTP? Dan kun je zelf een authenticator app kiezen.

Er is gewoon een prima standaard voor, dus waarom alles met een eigen app?

[beerse]

De functionaliteit van digid is iets verder dan totp. Afhankelijk van de toegang die je wenst kan de andere kant via digid vragen naar meer dan een totp.

De huidige paspoorten (en rijbewijzen?) hebben bijvoorbeeld een chip ingebakken die door mobieltjes kunnen worden uitgelezen. Dat kan digid ook gebruiken voor een extra factor in de authenticatie.

En precies in die hoek zit volgens mij de toegevoegde waarde van deze key-attestation. Als je een keer de nfc in je paspoort door digid hebt laten inlezen zou het zomaar kunnen/mogen dat een deel van die info (of een key of hash) in de lokale key op het toestel gezet wordt. Dan hoef je een volgende keer met dat mobieltje niet meteen je paspoort te pakken.

[Bas van Pelt]

Dat werkt Digid nu al zo, bij mij in ieder geval.

Ik gebruikte oud NL-paspoort (2017) met wel een verborgen NFC-chip en kon een Digid app (op android) blijvend naar hoger niveau brengen. Voortaan kan ik zonder paspoort met de Digid app op strenge websites in de EU via eIDAS inloggen.
In België is dat noodzakelijk bij veel organisaties, bijvoorbeeld bij bijna alle banken, en het is meestal gewoon fataal als je dat niet kan. Ook voor essentiële zaken als zorgverzekeraars.. Dat komt omdat bijna iedereen in België een commerciële versie van Digid gebruikt: itsme. En die app werkt niet over de grenzen heen. Je NL paspoort werkt wel, maar dan werkt de ITSme-app alleen in NL, en dan nog bijna nergens. Die nationale versies zitten elkaar zelfs in de weg op dezelfde smartphone. Dat blijft zo, en er is geen concurrentie, geen alternatief, Belgische eID moet met een kaartlezer gebruikt worden. Dat is optimaal, maar wel bewerkelijker.
En die Belgische ITsme kan je pas gaan gebruiken als je een Belgische (!) identiteitskaart eID hebt om de app te activeren. Die eID krijg je niet snel en makkelijk, kan maanden duren.

Gelukkig is er voor de EU-burgers eIDAS om de grenzen te overbruggen, en (open source)-DIGID maar ook eHerkenning zijn dan Nederlandse mogelijkheden. EU gaat de nationale overheden dwingen om die eIDAS mogelijkheid aan te bieden. En dat werkt dus al in België. Bij overheden en sommige organisaties.

Ik ben daarom een voorstander van voldoende keus uit open source mogelijkheden om je te identificeren binnen de EU. En het is een basisvoorziening die geen single point of failure mag zijn.

Digid werkte laatst even niet, mijn smartphone kan gestolen worden...enz. Een keten is kwetsbaar. Laten we dit systeem eens serieus goed gaan optuigen en gebruiken. Digid met meer mogelijkheden is een welkome aanvulling, maar het mag geen opgedrongen enige mogelijkheid worden om iets belangrijks te kunnen doen.

Uiteindelijk hebben we dan op internet wat vroeger vanzelfsprekend was: je kan je identificeren met een paspoort uit een ander (alleen EU, dat wel) EER-land.

Als je al meer dan tien jaar gewend bent aan identificatie voor crypto-exchanges en een hardwarewallet gebruikt dan weet dat dit technisch al wel eerder goed geregeld kon zijn. Maar alternatieven voor mogelijkheden via internet worden in snel tempo uitgefaseerd. Dat dupeert Jan Modaal en geluksvogels het laatst en ik vrees voor wat er dan gebeurt...

[Reactie gewijzigd door Bas van Pelt op 19 september 2025 22:18]

[baseoa]

Over dat laatste: zou ik prima vinden. Het lijkt er echter op dat, als je een toestel hebt dat ze niet vertrouwen, het óók niet als doorgeefluik gebruikt mag worden. Dus zonder die lokale key op je toestel, simpelweg je ID-kaart voor de NFC-lezer houden op het moment dat je het nodig hebt en zo inloggen bij overheidswebsites of leeftijdsverificatie of wat dan ook

Niemand heeft er denk ik iets op tegen als "gebruik een door google/apple beheerde telefoon wiens sleutel we kunnen verifiëren" als extra optie wordt toegevoegd -- daargelaten dat het nog mooier zou zijn wanneer andere OS-fabrikanten (zoals GrapheneOS) sleutels kunnen aanleveren die dan als vertrouwd worden aangemerkt. Vervelend is alleen dat dit steeds vereist wordt en de alternatieven worden weggehaald c.q. actief tegengewerkt

[Tozz]

Omdat DigiD nu een soort eigen variant van key attestation heeft bedacht. Je krijgt een code van een site, die vul je in in de App. App laat zien waar je wil inloggen. Dan stuurt de App een signaal naar de site, en die laat dan een QR-code zien. Die moet je scannen met de App en dan krijg je toegang tot de site.

Er is dus contact tussen site en App.

Bij TOTP is dat er niet.

[comecme]

Je krijgt juist een code van de app die je vervolgens invult op de site.

Maar inderdaad is er dan "contact" tussen app en site.

[bzzzt]

Omdat DigiD verantwoordelijk is voor het inloggen? Als jij er nu een app aan hangt die 2FA credentials naar de cloud 'lekt' en iemand vraagt op jouw adres 20x kinderopvangtoeslag aan zit jij met een probleem.
Maar een heel klein deel van de Nederlanders is capabel genoeg om de gevolgen van gebruik van een andere app te doorzien en je introduceert zo een flink aantal mogelijke zwakheden.

[GertMenkel]

Digid doet challenge-response, TOTP doet dat niet. TOTP is een goed alternatief voor SMS, maar SMS wordt uitgefaseerd.

Passkeys bieden wel een challenge-response-mechanisme dat op die manier geauthenticeerd kan worden, maar ik vraag me af dat die aan de relevante eIDAS-eisen voldoen.

Daarnaast heb je alsnog een app nodig omdat met ID-Check ook een bewijs van verificatie middels je identiteitsbewijs wordt uitgewisseld. In theorie zou je een losse app kunnen opzetten en daarnaast TOTP/passkeys kunnen implementeren, maar daar zie ik het voordeel niet zo van in.

[Reactie gewijzigd door GertMenkel op 19 september 2025 16:40]

[sympa]

Ik denk vanwege de specifieke ontboardingmethodes.
Bovendien wil je de veiligheid niet in handen van een derde partij leggen.

[Mitchell4you.]

hmm.. doen we dit...omdat we het kunnen?

Of wordt spoofen vaak toegepast?

Waar kan ik data zien? dat toont dat spoofing vaak toegepast wordt (bankieren of digid )

veiligheid vs gebruiksvriendelijkheid...is altijd lastig

[moonlander]

Deze week toevallig contact gehad met de supportafdeling. Ik kon de gekoppelde toestellen niet verwijderen met digid. Ik kreeg elke keer een Interne server error.

Ik kreeg een dag later reactie van ze dat ik een andere internet provider moest proberen.. en als dat niet lukte even een andere browser. Echt te zot voor woorden dat je op zo'n manier geholpen wordt, je kaart iets aan en dan wordt je zo afgewimpeld.. Maar dan denk ik dat het hier mee te maken heeft gehad.

[Iedjee]

Ik heb even wat verder onderzoek gedaan naar key attestation. Dit artikel van GrapheneOS is wel interessant.
https://grapheneos.org/ar...ation-compatibility-guide
(ergens hierboven wordt deze tekst al aangehaald)

Als ik het goed begrijp gaat het dus meer om Google certified hardware.
https://www.android.com/certified/
En het lijkt erop dat elk AOSP OS dus de API kan gebruiken.

Ook vond ik nog deze interessante app, waarmee je kan testen of en hoe key attestation werkt op je device.
https://play.google.com/s...ub.vvb2060.keyattestation

Misschien valt het dus allemaal wel mee hoezeer de DigiD app nu meer afhankelijk is geworden van Google. Het device is blijkbaar toch al certified door Google. En hopelijk wordt door de DigiD app niet gekeken naar het merk OS.

Maar misschien kan de redactie van Tweakers er verder onderzoek naar doen en vragen stellen aan Logius.

[aileron]

De Play Integrity API is een gedrocht en dient vooral om developers het gevoel te geven dat hun apps onveiliger zijn als ze het niet gebruiken zodat de gebruikers die een android telefoon hebben nog verder worden geprikkeld om toch weer google weer volledig toegang te geven tot hun gegevens.

Alle apps van de overheid zoals bijvoorbeeld digid en berichtenbox werken prima zonder google play services of google play store. Ik hoop dat dat in de toekomst ook zo zal blijven.

Beste overheid: Loop niet nu in de val van Google. Het is een fuik!