Probleem met inloggen DigiD op oude Android-telefoons komt door certificaten

Gebruikers van DigiD op smartphones met een oudere versie van Android of iOS hebben mogelijk inlogproblemen. Logius laat aan Tweakers weten dat dit veroorzaakt wordt door bepaalde beveiligingscertificaten die niet overeenkomen. De DigiD-beheerder werkt aan een oplossing.

Dit nieuws in het kort

• Inloggen met de DigiD-app werkt mogelijk niet goed.
• Dat geldt voor oude Android-versies, zoals Android 9, 10 en 11.
• Dit komt door een probleem met het beveiligingscertificaat van de app.
• Hier komt binnenkort een oplossing voor, maar wanneer is niet bekend.

De afgelopen dagen meldden meerdere tweakers op het forum dat zij niet konden inloggen op de DigiD-app. Het zou voornamelijk om mobiele apparaten met een oudere, maar wel ondersteunde versies van Android gaan. De DigiD-app vereist Android 9 of nieuwer.

Logius legt uit: "Vorige week hebben we certificaten vervangen tijdens de nieuwe DigiD-release." De beheerder van de authenticatiedienst heeft naar eigen zeggen twee leveranciers voor deze certificaten en wisselt regelmatig tussen deze twee partijen 'om risico's te spreiden'. Sommige oudere besturingssystemen, waaronder Android 9, 10 en 11, maar ook iOS 15, blijken dit certificaat niet goed te verwerken.

De overheidsorganisatie heeft 'met spoed' een nieuw certificaat aangevraagd bij de andere leverancier. Wanneer dit nieuwe certificaat is geïmplementeerd, zouden de problemen verholpen moeten zijn. Het is onduidelijk hoelang dat nog gaat duren. Logius houdt gebruikers via een melding op het inlogscherm van DigiD op de hoogte.

Probleem met rootcertificaat

Op dit moment is er een probleem met het vertrouwde rootcertificaat van de gebruikte leverancier van het authenticatiecertificaat voor de DigiD-app. "Op sommige oudere mobiele apparaten ontbreekt het nieuwe vertrouwde rootcertificaat. Dit kan bijvoorbeeld komen doordat het besturingssysteem niet up-to-date is of omdat beveiligingsupdates niet zijn geïnstalleerd", aldus de beheerder.

Het rootcertificaat is het fundamentele certificaat, dat bovenaan de 'vertrouwensketen' staat. Een certificatenautoriteit geeft het certificaat uit en alle onderliggende certificaten baseren hun 'vertrouwen' op het rootcertificaat. Dit certificaat is verwerkt in de browser of in dit geval in het besturingssysteem, specifiek Android. Dat komt nu alleen niet overeen met het nieuwe certificaat van de DigiD-app.

Reacties (39)

[Remzi1993]

Ik snap niet waarom er geen veilige mechanisme is om de root certificaten te updaten zoals dat bij Windows, MacOS en Linux het geval is. Ik vind dat fabrikanten daartoe verplicht moeten worden desnoods doet Google dit zelf en dat er dan een afspraak is tussen fabrikanten en Google als ze het zelf niet willen doen. Dit is toch middeleeuws dat dit niet kan?

De enige reden die ik zie waarom dit niet kan of niet gebeurt is omdat fabrikanten geen tijd en geld in willen zetten om apparaten 5 of 10 jaar te ondersteunen.

[wiseger]

Het is wel iets complexer, klanten hebben ook geen zin om voor tien jaar ondersteuning te betalen.

Verder is de fabrikant afhankelijk van de uitgevende instantie, want die heeft een verouderd root certificaat uitstaan bij de oude versies terwijl die inmiddels certificaten uitgeeft die naar een nieuwe root certifcaat verwijzen. De uitgevende instantie moet dus de fabrikant benaderen om zijn nieuwe root certificaat te laten updaten als dat nog mogelijk is. Als die dat niet doet, dan houdt het verder op.

[memphis]

Windows kan toch ook 10 jaar support geven? De meeste smartphones krijgen maar 2 jaar updates en dat lijkt mij eerder een commerciële beslissing dan een technische.

[wiseger]

Vijf jaar support is al een tijdje een EU verplichting dus slechts twee jaar support kan niet.

Alleen ligt het ook dan nog bij de certificaat uitgevende instantie, zij moeten de update van het root certificaat wel doorgeven aan de OS fabrikant.

[memphis]

Let op, hier gaat het nog om Android 9, 10 en 11. Deze hadden veelal 2 jaar updates.

[wiseger]

iOS 15 wordt ook genoemd in het artikel, afgelopen maart kwam iOS 15.8.7 nog uit. Kennelijk is de kaart uitgevende instantie vergeten hun root certificaat update door te geven aan Apple voor iOS 15.

Android 11 kwam uit in 2020. Laatste update was February 5, 2024. Google heeft dus vier jaar support gegeven.

[memphis]

Maar de updates worden door de smartphone fabrikant beschikbaar gesteld, het is aan hun of ze die volle tijd willen supporten.

[Ortep]

Dat is al jaren niet meer zo. Ik krijg op mijn Pixel 7 jaar updates en ook Samsung geeft iets van 5 jaar

[zanza006]

Meestal 3jaar voor een consumer build, meer geven ze niet (op wat uitzonderingen na)

[Remzi1993]

Vandaar dat ze het misschien dan moeten uitbesteden aan Google ofzo of root certificaten worden dan via de Google Play Store geupdate. Ik zijn talloze technische oplossingen te bedenken voor dit probleem.

[Ascathon]

En daarna zeker het probleem van de gebruiker, net zoals banken v11 ook al als minimaal zien ofzo. Straks kun je EN geen bankzaken doen EN geen Digid aanmeldingen.

Om dan te zeggen, je telefoon is oud vind ik zo'n killer. Dat is aan de gebruiker om lang met een apparaat te doen.

[Remzi1993]

Ik vind max 10 jaar wel netjes, daarna vind ik het te ver gaan. Maar mobieltjes doen niet eens 2 of 3 jaar mee, dat is gewoonweg e-waste. We moeten dit in de wet verankeren op EU niveau.

[Ascathon]

Sure, ik begrijp een bepaald maximum ook wel. Mijn telefoon is nu al 6 jaar oud en met v12, maar doet het nog wonderbaarlijk goed. Zonde om te vervangen.

Digid kan nu dan nog via SMS, maar op den duur zal dat ook wel verdwijnen gok ik.

[moonlander]

Het houdt een keer op he, je kan niet oneindige ondersteuning aanbieden. Stel jij maakt een product, en doet daar 4 jaar updates voor.. je ziet een enorme afname in het gebruik ervan, wil jij nog oneindig veel updates uitbrengen dan? Nee dat kost mega veel geld om dat product te onderhouden.

[batjes]

Bij een OS dat niet centraal kan updaten omdat er een andere desktop environment gebruikt wordt is het geen verassing natuurlijk. Uiteraard alleen op te lossen door de play services verder en dieper te integreren.

[Remzi1993]

Bij Linux distributies worden netjes de root certificaten geüpdatet als het moet. Ik snap je reactie dan dus niet zo goed.

[batjes]

Het is geen reactie tegen Linux maar tegen Android.

Ter verduidelijking:

Android werd de markt op gedrukt door Google om deze over te nemen, hierbij was het voor Google gunstig om een OS te leveren die door fabrikanten gecustomized te worden. Google trok ook haar handen er van af, nam geen enkele verantwoordelijkheid voor het OS 'Android'.

Zo kreeg en heb je nog steeds miljoenen van die Android toestellen op het internet hangen die al jaren niet bijgewerkt zijn.

Google verdient er miljarden mee, maar neemt (nog steeds) geen enkele verantwoordelijkheid. En wanneer ze wel die verantwoordelijkheid 'schijnen' te nemen, dan misbruiken ze hun play services om massaal de privacy van Google's eigen gebruikers te schenden.

[Reactie gewijzigd door batjes op 27 mei 2026 16:55]

[L0g0ff]

Ook niet wanneer de linux distro eol is. Iemand zal een package moeten maken en die certificaten erin moeten stoppen.

Firefox lost dit op met zijn eigen chain. DigiD zou dit ook kunnen doen misschien? Niet leunen op het device maar gewoon eigen certs mee geven.

Alleen is logius dan bijna verplicht ook weer een browser mee te geven want iedereen hopt door vanaf een website.

[Niema]

Android ondersteunt gebruikerscertificaten sinds een lange tijd. Dit valt prima handmatig toe te voegen. Waarom het niet vanzelf gaat weet ik niet

[Remzi1993]

Ja klopt, dit wist ik ook, maar dan moet je als gebruiker wel weten waar je die certificaten kan downloaden en hoe je dit moet doen. Volgens mij is dat niet gebruikersvriendelijk zodat een gemiddelde man/vrouw dit kan.

[hcQd]

Vreemd genoeg wordt bij Android de database met tijdzones wel automatisch bijgewerkt los van systeemupdates, je zou denken dat dat voor certificaten belangrijker is.

[rookie no. 1]

En daarom is het noodzakelijk dat er een mogelijkheid blijft dat je DigiD kunt gebruiken zonder een Apple/Google smartphone/app!

[!mark]

Je kunt v.z.i.w. toch ook de SMS optie gebruiken als je geen smartphone hebt?

[hcQd]

Meestal wel, maar niet voor zaken die een hoger beveiligingsniveau vereisen.

[rookie no. 1]

Dat zeg ik: "blijft"

[John Doos]

Aaah, dat verklaard een hoop.


Ach m’n vader heeft weer een nieuwe telefoon inmiddels die weer even vooruit kan

[Memori]

Zelfde hier. Mijn moeder dacht dat het aan de Wifi lag. Heeft nu Digid op de tablet gezet "die wel werkt". Best wel storend dat het zo lang heeft moeten duren (na meedere dagen) dat er een melding op de inlogscherm kwam.

[greg-a]

Wellicht een stomme vraag, maar hebben certificaten er ook mee te maken dat DigiD (app) niet werkt als je Brave als brower hebt? Ik heb een iphone 15 en daarop wordt weergegeven dat deze brower (brave) niet geschikt is voor het inloggen met de DigiD app...

[wiseger]

Dat kan. Als Brave geen root certificaat bevat van de certificaat uitgevende instantie dan zal DigiD niet werken. Maar over het algemeen staan root certificaten in het OS. Bij Apple kan je de lijst terug vinden op de support pagina's. Zie bijvoorbeeld: https://support.apple.com/nl-nl/103252

[memphis]

De hoop is de app update die voor morgen gepland staat maar als ik dit zo lees -dat het niet op die manier gemeld wordt- vrees ik het ergste. Meest opvallend is dat sinds 19 mei het probleem speelt en er totaal geen normaal bericht over te vinden was. Mensen konden geen toegang krijgen op alles wat DigiD gerelateerd is, zo las ik mensen die geen afspraak met het ziekenhuis kon maken, geen medicijnen bestellen of updates aan het UWV geven. Als de update van morgen werkt heeft het 10 dagen plat gelegen, dat is onacceptabel en tegelijk een mooi voorbeeld wat er kon gebeuren als het in Amerikaanse handen lag en ze daar ons wilde "afsluiten".

[hherrie]

Het werkt inmiddels weer.

[IrBaboon79]

ach - geforceerd je zaken regelen via apps, wel eerst ff een nieuwe telefoon kopen want wij vinden hem te oud. Anders nieuwe telefoon maar van de belasting aftrekken?

Straks wordt er zo’n armoede industrie clubje wakker en moeten arme mensen weer gratis een nieuwe krijgen omdat ze niet meer mee kunnen in de maatschappij…

[D3N_B0Y]

Dit was wel te verwachten en komende tijd zullen er nog veel meer applicaties en websites volgen voor deze telefoons. Dit is niet alleen gelimiteerd tot Android maar ook iPhone gebruikers zullen hier hinder van gaan ondervinden. Meerdere ROOT en Intermediate certificaten gaan verlopen en ook de levensduur van deze en uitgegeven certificaten zullen worden verkort.

Imo is dit een probleem wat aan eindgebruikers toe te wijden is, want hoelang worden deze OS'sen niet meer ondersteund? Je kiest er zelf voor om oude hardware te blijven gebruiken waarvan al dan wel- of niet wetende het support van opgehouden is. Anderzijds moet dat mechanisme van het updaten van certificaten ook makkelijker en beter kunnen ja

[tormentor1985]

Zal wel een ECDSA certificaat zijn. Gebeurt vaker dat die op hardware waar geen ondersteuning voor is niet langer werkt. Het enige wat je dan kan doen is terug naar RSA en hopen dat in dit geval Google inderdaad nog eens een update uitbrengt.

Het zou eigenlijk verboden moeten worden dat dit soort simpele zaken resulteren in e-waste. Onlangs hadden we ook zo'n situatie met Sonos S1. Het kan niet zo zijn dat perfect werkende hardware met een simpel doel gewoon niet langer gebruikt kan worden. Het zou een beetje hetzelfde zijn als dat je je auto niet kan starten door het gebrek aan ondersteuning van een externe factor en omdat hij ouder is dan 5 jaar hij dan maar de shredder in moet.

[wiseger]

Bij auto's hanteren de meeste fabrikanten een minimale termijn van tien jaar levering van onderdelen sinds de laatste verkoop.

Bij elektronische apparatuur is de EU verplichting minimaal 5 jaar.

Hoe je wilt voorkomen dat een root certificaat verloopt en de uitgevende instantie dat over het hoofd ziet, is me een raadsel. Overal kunnen fouten gemaakt worden en als die instantie vergeten is dat ze ook nog een root certificaat in iOS 15 hebben staan, dan krijg je dit. Terwijl iOS 15.8.7 twee maanden geleden uitkwam.

Het probleem was hier dus niet dat Apple geen updates meer geeft maar dat de certificaat uitgevende instantie dat vergeten was.

[Iedjee]

Op de inlogpagina staat dat het probleem inmiddels is opgelost?

[Jeoh]

Geprobeerd te switchen naar CertSign certificaten, maar nu weer terug naar DigiCert. Waarom gebruiken we eigenlijk niet de Staat der Nederlanden Root CA?