EU-app voor leeftijdscontrole sluit bepaalde besturingssystemen mogelijk uit

De oplossing die de Europese Unie maakt voor online leeftijdsverificatie krijgt kritiek van ontwikkelaars. Door technische vereisten werkt de app straks mogelijk alleen op een klein aantal goedgekeurde apparaten en besturingssystemen.

De ontwikkelaars zijn kritisch op de Age Verification-app. Daarmee kunnen gebruikers aantonen dat ze ouder zijn dan een bepaalde leeftijd, zonder dat ze hun naam, exacte geboortedatum of legitimatiebewijs hoeven te delen. De oplossing moet bruikbaar worden via verschillende digitale wallets die de Europese Commissie heeft goedgekeurd.

Het probleem is dat hardware-attestation een vereiste is voor de app, zo stelt een beheerder van het project op de GitHub-pagina, schrijft Linuxiac. Hardware-attestation is een proces dat de integriteit en authenticiteit van een apparaat verifieert. Daarvoor moeten besturingssystemen en apparaten wel ondersteuning bieden en dat is niet altijd het geval. Critici stellen dat de app daarom straks afhankelijk is van een klein aantal goedgekeurde apparaten, besturingssystemen en providers.

Nog veel onduidelijk

Hoever de beperkingen daadwerkelijk gaan, is nog maar de vraag. De technische specificaties vereisen dat apps de native cryptografische hardware gebruiken wanneer deze beschikbaar is. Maar strengere controles, zoals rootdetectie, Google Play Integrity en Apple App Attest, zijn niet universeel verplicht gesteld. Of dat een verplichting wordt, hangt af van de individuele partijen die het systeem uitrollen.

Juist dat kan extra gevolgen hebben voor alternatieve besturingssystemen. Een voorbeeld: een privacyvriendelijk alternatief als GrapheneOS ondersteunt wél hardware-attestation, maar komt niet door Google Play Integrity heen. Als dat laatste een strikte eis wordt om de Age Verification-app te gebruiken, werkt hij dus niet op GrapheneOS.

De beheerder van de Age Verification-app zegt op GitHub dat suggesties voor verbeteringen aan de architectuur welkom zijn. Verder benadrukt hij dat het onderwerp binnenkort verder wordt behandeld en dat er nog een beveiligingsbeoordeling wordt gedeeld. Het is niet duidelijk wanneer dat precies gebeurt.

Online leeftijdsverificatie. Bron: Getty Images/Tero Vesalainen (Beeld ter illustratie)

Reacties (292)

[Stetsed]

Dus ik denk dat het belangrijk is om wat meer detail te geven wat de discussie nou over gaat want . Fundementeel komt het eerste neer op een interpretatie van de technische specificatie en gebruik hiervan, het zegt namelijk

“An Age Verification App SHALL rely on the device's native cryptographic hardware. capabilities, such as the Secure Enclave on iOS, or the Trusted Execution Environment (TEE) and Strongbox on Android, when they are available.”

Dit is dus well belangrijk, want hier gaat het om een interpretatie van intentie. Volgens de contributor van de repository(manecke), betekent dit dat het moet, echter wordt het door andere users en ik kan het zeker ook zien bedoelt dat het alleen de eis stelt als het beschikbaar is, maar zo niet dan maakt het niet uit. Hier wordt later in de thread ook nog op gezegd dat er blijkbaar (?) een discussie komt om de eisen verder te definiëren, dit wordt ook in het artikel genoteerd

Hiernaast is het probleem niet zozeer hardware attestation, maar hoe het wordt gedaan. De tegen druk is namelijk dat het op dit moment Google Play Integrity gebruikt, dit is een Google API die wordt gebruikt, en dus checkt het google’s lijst van approved sources wanneer het checkt, dit is ook wat veel banking apps bijvoorbeeld gebruiken.

Echter is het niet de enige manier, Android heeft namelijk Hardware Attestation API(1) het probleem wat daarmee komt is dat er een lijst moet zijn van approved keys, en wat ook well correct naar wordt gewezen is ja je kan hier GrapheneOS aan toevoegen, maar dan is het Android en graphene, is het niet open. Dus dan moet je gaan kijken naar hoe je die lijst onderhoudt als we er van uit gaan dat dit een concrete eis is.

Fundementeel is het eigenlijk de vraag “Welke keys vertrouwen we”, en hoe meer keys je hebt hoe meer plekken het fout kan gaan, dit zien we bijvoorbeeld met Widevine L1 waar het soms voorkomt dat bepaalde boxen een TEE vulnerability hebben waardoor de keys leaked kunnen worden, en deze boxen worden dan vaak van de trusted lijst gehaald waardoor hij niet meer voor L1 kan worden gebruikt

En natuurlijk is het de vraag van keuze vrijheid, want zoiezo werken deze attestation methodes niet wanneer een device rooted is. Maar die discussie zal ik hier niet in gaan. Maar ik denk dat het dus well belangrijk te noteren is dat het niet zozeer gaat om hardware attestation, maar hoe het wordt gedaan

1. https://developer.android.com/privacy-and-security/security-key-attestation

[Reactie gewijzigd door Stetsed op 3 augustus 2026 15:44]

[bilgy_no1]

Play Integrity is iets wat heel veel alternatieven in de weg zit, naast Graphene ook zoiets als Sailfish. Je kunt daar weliswaar Android apps op draaien, maar diverse banken en andere instanties weigeren dan want het komt niet door die Google check heen. Dat gaat overigens verder dan alleen het OS (of custom ROM), want er wordt ook gecheckt of de app is gedownload uit de Play Store.

Ik ben ervan overtuigd dat deze huidige implementatie in strijd is met de vereiste om alternatieve App stores een kans te geven. En tegelijk onderdrukt het de concurrentie op OS vlak.

Des te gekker dus als de EC die leeftijdsverificatie op deze manier toe zou staan.

[uiltje]

Uiteindelijk moet je iets hebben waarop je kan vertrouwen. En ja, dat betekend concessies doen, ik beweer niet dat er geen probleem is met betrekking tot andere app stores. Het probleem is er, perfecte oplossingen zijn er niet.

[THETCR]

Voor dit soort technische ontwerpen en specificaties gebruikt men het MoSCoW model.

SHALL (Should have) is een requirement die niet op dit moment hoeft voor de huidige oplevering en er kan ook een andere manier zijn waarop er aan de vereiste voldaan kan worden, in dat geval mag het worden doorgeschoven naar een toekomstige release.

Dus het is vrij duidelijk dat het niet een harde vereiste is dat de requirement specifiek op die manier wordt geïmplementeerd. Het kan namelijk anders en beter.

[johndoe73]

SHALL is in deze hetzelfde als MUST en wat anders dan SHOULD. Zie ook https://datatracker.ietf.org/doc/html/rfc2119

[THETCR]

Je hebt helemaal gelijk.
Wat stom dat het in veel bedrijven hun scrum methodiek verkeerd wordt toegepast.

[mac1987]

Ik heb in mijn 11 jaar bij een groot Nederlands IT-bedrijf nog nooit 'shall' gezien binnen de MoSCoW methodiek, behalve in feature beschrijvingen waar deze als synoniem voor 'must' wordt gebruikt. Dit is ook consistent met de Engelse taal, waar 'shall' geen optionele component bevat, maar juist een verplicht karakter heeft.
Ook binnen de Scrum, SAFe en algemene Agile trainingen heb ik 'shall' nooit als invulling van de 'S' binnen MoSCoW gehoord of gezien. De enige afwijking die ik soms tegenkom is 'would have' versus 'won't have' voor de 'W'. Voor de betekenis maakt dat overigens weinig uit: het blijft iets dat buiten scope is geplaatst.

[Reactie gewijzigd door mac1987 op 5 augustus 2026 14:30]

[supersnathan94]

SHALL (Should have) is een requirement die niet op dit moment hoeft voor de huidige oplevering en er kan ook een andere manier zijn waarop er aan de vereiste voldaan kan worden, in dat geval mag het worden doorgeschoven naar een toekomstige release.

De S in moscow staat voor should.

Must, should, could, would, won't.

Shall is geen standaard, maar een synoniem voor must.

In het Nederlands is dit het verschil tussen zou moeten en zal moeten. Die laatste is gewoon “dit moet”.

[Reactie gewijzigd door supersnathan94 op 4 augustus 2026 10:25]

[SunnieNL]

Maar deze specifieke zin eindigd met 'wanneer aanwezig', wat het in mijn ogen terugbrengt naar een 'should'.

Je moet het gebruiken, mits dat via het OS ook kan.

Overigens, zelfs als het een must is en het de Play API zou gebruiken heb je niet maar een paar devices te pakken waar dit op komt te draaien, maar al 80% van de android telefoons.

[supersnathan94]

Maar deze specifieke zin eindigd met 'wanneer aanwezig', wat het in mijn ogen terugbrengt naar een 'should'.

Maar dat is niet een should. een should betekent dat je het zou moeten ondersteunen, maar er voor kiest om het nu nog niet te doen. Wat er staat is, als het op het toestel aanwezig is, moet je het gebruiken. Dus de feature moet daadwerkelijk geïmplementeerd worden met een correcte feature toggle.

Het moet aanwezig zijn in de app, het moet ook altijd gebruikt worden als het kan, maar als het er niet is vanuit het device, dan moet je een andere methode gebruiken.

Dat maakt het vanuit MoSCoW niet ineens een Should. Het is nog steeds een Must.

[blaatenator]

Ik zie 'would' wel eens maar het is toch echt 'Won't have'

[supersnathan94]

ah. ik zie het, je hebt helemaal gelijk.

Ik houd me eigenlijk nooit bezig met die W, want ... gaan we toch niet doen. dus vandaar denk ik dan.

[SunnieNL]

Wont have blijft raar. We hebben het niet nodig, het is ook volledig buiten scope. Maar als je het hebt, krijg je wel punten.

[Stetsed]

Won’t have wordt gebruikt om aan te tonen dat er aan iets is gedacht, maar dat het toch is uitgesloten. Dat is eigenlijk de functie die het aantoont. En wanneer het wordt gebruikt is het eigenlijk bedoelt dat het inderdaad totaal niet zal worden gedaan, het zit buiten de scope. Dus eigenlijk zou het helemaal geen extra punten moeten opleveren, maar alleen laten zien dat je tijd hebt gespendeerd aan iets wat niet nodig was.

Wat je echter vaak well ziet, is dat het eigenlijk wordt misbruikt en dat het inplaats van “Won’t Have” een “Could Have” zou moeten zijn, wat eigenlijk betekent “Het is leuk, maar heeft geen prioriteit”

[Polderviking]

Echter is het niet de enige manier, Android heeft namelijk Hardware Attestation API(1) het probleem wat daarmee komt is dat er een lijst moet zijn van approved keys, en wat ook well correct naar wordt gewezen is ja je kan hier GrapheneOS aan toevoegen, maar dan is het Android en graphene, is het niet open. Dus dan moet je gaan kijken naar hoe je die lijst onderhoudt als we er van uit gaan dat dit een concrete eis is.

Ik heb nooit begrepen waarom die lijst zo lastig is.
SSL/TLS is uiteindelijk ook gewoon een handmatige lijst certifcaat(boeren) die we vertrouwen.

Maar ik vind eigenlijk ook dat Google geforceerd moet worden dat API proces open te breken en dat partijen als Graphene zich daar ook gewoon moeten kunnen aanmelden en dat je daar zoals nu het geval dus niet alleen maar tussen komt als je telefoons maakt.
Ik snap eigenlijk niet dat de EU daar nog niet over is gestruikeld.

[Reactie gewijzigd door Polderviking op 3 augustus 2026 16:41]

[Stetsed]

De reden dat SSL/TLS anders is is omdat het niet gaat om user devices te vertrouwen, maar de andere kant op namelijk de servers vertrouwen. Dit is een Fundementeel verschil in ideologie.

Voor SSL bestaan deze certificaten niet om vertrouwen te garanderen vanuit de user kant(mTLS even buiten de discussie, die voegt dus ook heel wat dingen toe om dit te verbeteren), daar zijn ze eigenlijk redelijk slecht voor in design, maar om te garanderen dat de server toegang heeft tot een bepaald stuk infrastructuur die tot een hoog genoeg niveau her vertrouwen geeft dat zij de echte zijn. Maar als die certificate leaks is het alleen hun probleem, het heeft geen impact op andere websites.

Het probleem met TEE/Play Integrity en zo voort is dat als een device compromised wordt, het overal kan worden gebruikt om fake checks door te laten gaan, dat is bijvoorbeeld wat Widevine TEE L1 keys direct voor worden gebruikt. Kort opgesomd als een user side certificate toegankelijk wordt, kan het overal worden gebruikt, als een server side certificate compromised wordt, is dat alleen op die website.

Nou laat me duidelijk zijn dat dit bij vere van niet een onoplosbaar probleem is, en ik denk ook niet dat de suggestie “Forceer Google om het open te maken” een goede keuze is omdat ik helemaal niet denk dat Google deze macht moet hebben, ik will helemaal niet dat dit een lijst van Google is. Net zoals dat de global trust root voor SSL niet van een enkel bedrijf moet zijn.

[Reactie gewijzigd door Stetsed op 3 augustus 2026 16:46]

[Polderviking]

Een goede keuze wil ik het ook niet noemen maar je zit met Google wel een beetje met het probleem dat Android zonder Google services gewoon niet bruikbaar is voor veel mensen.

Ik zeg dat ook meer vanuit het idee dat het me makkelijker lijkt om dat proces open te maken dan Google helemaal te van iets van attestation buiten te sluiten.

[Niema]

Voordat lets encrypt kwam was het voor de website aanbieders een vergelijkbaar probleem als we nu hebbe aan de andere kant. Een selecte groep mensen die onder een hoge tol soms certificaten mag aanhebben


Het is ook anders aangezien er meer aanbieders zijn van https root certificaten dan 1 En tls heeft ook simpelere ambities . Tls probeert alleen te bewijzen wie het is, niet iets over de inhoud van de webpagina

[Reactie gewijzigd door Niema op 3 augustus 2026 21:10]

[arjankoole]

SSL/TLS is uiteindelijk ook gewoon een handmatige lijst certifcaat(boeren) die we vertrouwen.

Niet eens perse. Je eigen CA werkt ook. Of self-signed. Er is niet inherent onveiliger aan een 'niet vertrouwd' certificaat gebruiken. Wat veel en veel belangrijker is zijn de ciphers en lengtes.

die vertrouwde lijst was wat Certificaat boeren lang een verdienmodel gaf.

[uiltje]

Nee, dat werkt omdat je je eigen (CA-)certificaat vertrouwd - je hebt het immers zelf gemaakt. TLS met een andere partij waarvan je rucksichtslos het andere certificaat vertrouwd is niet veilig. Het enige wat dan overblijft is de forward security van de session key establishment, maar dat heb je ook zonder certificaat.

[locke960]

Fundementeel is het eigenlijk de vraag “Welke keys vertrouwen we”

Bijna goed. Fundamenteel zijn de vragen "Wie vertrouwen we" en "Wie beslist wie we vertrouwen". Het problematische aan het antwoord op die vragen in de moderne technologische maatschappij is:

• De betrouwbare partijen zijn grote bedrijven die zichzelf aangewezen hebben.
• De overheid; voor zover die de grote bedrijven bij kunnen houden.
• Ik wordt nooit vertrouwd.
• Ik heb niets te zeggen over wie ik moet vertrouwen.

[wild_dog]

Wat ik me nou afvraag, wat staat er in de weg om een Wallet te maken die wel met alle protocollen naar externe instanties overweg kan, maar die gewoon lak heeft aan de interne vereisten die gesteld worden?


Geen secure enclave of TEE, geen maximum aantal attestaties kunnen genereren van 1 binnengehaald ID, en die ook kunnen in- en exporteren, en voor externe diensten zich voordoen als een aproved Wallet?

[Reactie gewijzigd door wild_dog op 4 augustus 2026 01:53]

[MM99]

Weetje waar ik nu bang voor ben? Dat dit nu straks een standard wordt voor vele applicaties. Ik gebruik geen social media, nu heb ik dus geen enkele reden om dit te gebruiken. Maar mijn vermoede is dat dit straks op vele diensten verplicht wordt, waarvan ik zoiets heb van overheid hoeft niet te weten dat ik die diensten gebruik.

[JBVisual]

Maar dit hoeft de overheid toch nog steeds niet te weten. Er kan een versleuteling plaats vinden die tokens anoniem doorstuurt via een beveiligde verbinding.

1. Website vraagt om bepaalde gegevens
2. Hiervoor wordt via een een tussen verbinding een token request gegeven
3. Jij logt in op jouw portaal, en geeft toestemming voor de opgevraagde gegevens
4. Er wordt een token teruggegeven
5. De website ontvangt de token met de benodigde gegevens.

Het is prima mogelijk om gegevens door te geven zonder dat de overheid weet door wie en waarom de gegevens gebruikt worden.

[XiMMiX]

Dus wat jij portaal noemt weet nu exact welke websites jij bezoekt. Geen privacy dus.

Leeftijds verificatie en privacy kunnen niet gecombineerd worden, wat je ook verzint. Het is theoretisch onmogelijk.Om je leeftijd te bewijzen moet je identiteit bekend zijn, dus kan van privacy geen sprake zijn. Ja, je kan allerlei ingewikkelde constructies bedenken waardoor je het privacy probleem van de overheid naar tussenpersonen (portalen) verplaatst. Of dat de data van meerdere partijen nodig is om achter je identiteit te komen. Maar de basis blijft hetzelfde, leeftijdsverificatie betekent privacy opgeven.

[QuitsAlbatross]

Bewijzen zero-knowledge proofs niet dat dit juist wel mogelijk is?

Het enige wat de overheid weet is dat jij een certificaat hebt gevraagd waarop staat dat je 18+ bent en het enige wat de server van website X weet, is dat als de wiskunde klopt de overheid garandeert dat jij 18+ bent.

De technologie is op zich geen probleem, wel hoe we kunnen verifiëren dat die effectief correct geïmplementeerd wordt.

[XiMMiX]

Meestal wordt met zero-knowledge proof in dit geval bedoeld dat de website jouw identiteit niet hoeft te kennen. En dat is zeker ook niet nodig. Maar als je je zorgen maakt over privacy gaat het er niet zozeer om dat het niet nodig is, maar dat het niet kan. En daar wringt de schoen.

Ja, met certificaten kan je ervoor zorgen dat de website jouw identiteit niet hoeft te kennen en dat de overheid niet hoeft te weten welke website jij bezoekt. Maar je privacy is pas gegarandeerd als beide partijen je identiteit niet kunnen achterhalen. En dat kan dus wel. Zie ondermeer mijn antwoord op Zoijar hieronder.

[arjankoole]

dat hoeft niet eens. Dat kan ook onder een relatief onschuldige bedrijfsnaam gecheckt worden.

Dan weet het portaal helemaal niets. En dat moet ook de insteek zijn van zoiets.

[XiMMiX]

privacy through obscurity lijkt me geen goed idee en is ook geen echte privacy.

[arjankoole]

privacy through obscurity lijkt me geen goed idee en is ook geen echte privacy.

Dat is geen privacy through obscurity. Dat heet alleen het strict noodzakelijke doorgeven, juist een van de kernpilaren van privacy. Moet de broker weten welke website je bezoekt? Nee. Die moet alleen doorgeven of je True of False boven de gestelde leeftijdslimiet bent.

[david-v]

Leeftijds verificatie en privacy kunnen niet gecombineerd worden, wat je ook verzint. Het is theoretisch onmogelijk

Heb je (wiskundig) bewijs dat het theoretisch onmogelijk is? Zero-knowledge proof is namelijk een bewezen cryptografische techniek. Als de leeftijdverificatie app volledig open source is dan is het theoretisch mogelijk om privacy te waarborgen voor de gebruiker.

Maar ik hoor graag van jou waarom het theoretisch onmogelijk is.

[morphje]

Theoretisch zal het helemaal mogelijk zijn en anders is het theoretisch iets te verzinnen waarmee het theoretisch implementeerbaar is.

ECHTER, waar het om gaat is welke praktijk er wordt toegepast. De EU is meermaals een onbetrouwbare gesprekspartner geweest. Een partij die meermaals probeert encryptie te ondermijnen (alleen decryptie voor de overheid) en chatcontrol doorvoert. Als de EU een mogelijkheid ziet om bij te houden waar jij mee communiceert, dan zullen ze dat simpelweg doen. Die wens om je te volgen en controleren is al jaren lang een natte droom van vele eurocommisarissen.

[david-v]

De technische specificatie en de functionele specificatie is duidelijk. De rest van je betoog, daar kan ik weinig mee. Zodra de App klaar is, open source en de build verifieerbaar is dan praten we weer verder. Tot die tijd blijft het een nutteloze gesprek tussen wel of geen vertrouwen hebben.

Mag ik vragen, heb je geen mobiel? geen whatsapp? geen enkele app waarvan je niet weet wat het doet en je online gedrag volledig volgt? Ik wordt er een beetje moe van dat het uitgangspunt wantrouwen is in plaats van vinger op de pols blijven houden. Dan kunnen we net zo goed direct stoppen met politie, want stel dat het "regime" veranderd en politie wordt misbruikt om de bevolking te terroriseren en onder de duim te houden. Dat is precies wat je zegt, als de overheid de mogelijkheid heeft, zullen ze dat doen, toch?

[morphje]

"ik wordt een beetje moe"

Je betoog is letterlijk omdat een mobiel al zoveel trackt en bijhoudt, geef dan de rest van je privacy ook maar op. En jij wordt moe van een argument om het laatste stukje privacy dan maar te behouden?

De discussie zou moeten zijn of het middel uberhaupt nodig is in de eerste plaats. En social media leeftijdscontrole voegt niks toe, is een glijdende schaal en zet de deur open voor totale controle. De specificatie laat genoeg ruimte over voor die totale controle en de praktijk laat zien dat de overheid die ruimte maar al te graag pakt.

[david-v]

Je betoog is letterlijk omdat een mobiel al zoveel trackt en bijhoudt, geef dan de rest van je privacy ook maar op

ik zeg dat nergens. Wat ik zeg is dat dit om social media gaat, zeg maar de rotzooi van het internet (mijn mening). Blijkbaar vinden we het erg dat de overheid daar iets aan wil doen want wantrouwen en glijdende schaal. In de tussentijd heb je een jonge generatie die door social media volledig wordt gehersenspoeld.

En jij wordt moe van een argument om het laatste stukje privacy dan maar te behouden?

Er is nog steeds geen sprake van privacy schending. De hele opzet, architectuur, technische specs en discussies zijn juist om privacy te waarborgen.

En social media leeftijdscontrole voegt niks toe

jouw mening, niet de mijne.

is een glijdende schaal en zet de deur open voor totale controle

Ook een mening die ik niet deel, zie voorbeeld van politie in Nederland, want als het er is gaat het misbruikt worden door de overheid. dat is wat jij in je betoog beweerd. Als ze het kunnen, zullen ze het doen.

[morphje]

https://nos.nl/artikel/2432715-inlichtingendiensten-moeten-grote-bak-data-burgers-verwijderen

Ja, als ze het kunnen doen, dan doen ze het ook. Dit is slechts 1 voorbeeld van vele schandalen die naar buiten zijn gekomen van de AIVD, MIVD, politie, etc etc.

[david-v]

Je toont alleen maar aan dat de controle op de overheid wel werkt. Als het ontdekt zou worden en de overheid zou het ontkennen en negeren, dan heb je een punt. Dit is precies wat controle op uitvoering en vinger aan de pols houden inhoudt. We hebben instanties in Nederland die controle oefenen op wat de overheid allemaal doet, naast alle (privacy) onderzoekers die zich hier mee bezighouden.

[morphje]

Vertel eens wat werkt er dan wel volgens jou?

Het enige wat ik zie is dat er achteraf wordt geconcludeert dat overheidsdiensten herhaalderlijk de wet overtreden en dat er geen maatregelen worden genomen om dit te voorkomen, dat toezicht onverminderd slecht is en dat er niemand voor gestraft wordt.

De wet werkt alleen als er ook gevolgen zijn voor het overtreden van de wet en dat laatste specifiek ontbreekt volledig. Dus nogmaals dezelfde vraag: "Wat werkt er?"

[Teun!]

De hele opzet etc is er niet om privacy te waarborgen, zolang er google play inzit, of google er uberhaupt (verplicht) aan te pas komt (attestation, play services, store).


Geen ZKP, geen oplossing. Het kan, we (de overheid) willen het gewoon niet

[Duralex]

Nee jij hebt wantrouwen in de burger als uitgangspunt en daarom pleit je voor overheid, politie, draai het nou niet om.

Mijn vertrekpunt zou zijn dat medeburgers a priori beter te vertouwen zijn dan de overheid totdat het tegendeel blijkt. Uitgangspunt is dat ik en mijn medeburgers door de wet beschermd moeten zijn tegen onze overheid. Laat dat nou een belangrijke pijler van ons bestuursrecht zijn, zolang het duurt en die niet door controlefreaks omver wordt geworpen.

[david-v]

Nee jij hebt wantrouwen in de burger als uitgangspunt en daarom pleit je voor overheid, politie, draai het nou niet om

Ik weet niet hoe je tot die conclusie komt, maar dat zeg ik of beweer ik nergens.

Mijn vertrekpunt zou zijn dat medeburgers a priori beter te vertouwen zijn dan de overheid totdat het tegendeel blijkt

Bijzondere uitspraak. Blijkt dat de gevangenissen vol criminelen zitten. Als dat jouw vertrekpunt is dan heb je geen politie nodig, toch? Want de overheid kun je daar niet in vertrouwen en je medeburger wel dat ze zich netjes gedragen.

We dwalen af...

[XiMMiX]

Zero knowledge proof is inderdaad een bewezen cryptografische techniek. Maar dat gaat er om dat je kan bewijzen dat een bewering waar is zonder het geheim waar die bewering over gaat prijs te geven. Maar dat gaat in dit geval dus over de bewering van de gebruiker ("ik ben 18+") tegenover de website die toegang wil beperkten tot 18+ers. Het probleem zit hem er in dat je in het geval van leeftijdscontrole je geheim (je identiteit) moet overhandigen aan de overheid. En daarmee komt je privacy te vervallen.

[david-v]

Het probleem zit hem er in dat je in het geval van leeftijdscontrole je geheim (je identiteit) moet overhandigen aan de overheid. En daarmee komt je privacy te vervallen.

Ik heb slecht nieuws voor jou, de overheid weet al wie je bent, je staat geregistreerd in het BRP. Voor het verkrijgen van de proofs dat je 18+ bent zal je je moeten "legitimeren". Waar je die proofs voor gebruikt is een ander verhaal. De overheid weet dat niet. Net zoals degene die je proof ontvangt niet weet wie je bent. Je privacy is daarmee geborgd. Identiteit en privacy zijn twee verschillende dingen die je nu voor het gemak bij elkaar gooit. Dat zorgt voor verwarring.

[XiMMiX]

je opmerking bewijst mijn gelijk niet mijn ongelijk.

[david-v]

Je hebt gelijk dan. Je privacy wordt niet geschonden. Je identiteit daarentegen is al bekend bij de overheid, als dat is waar je gelijk in wil krijgen

[XiMMiX]

Je begrijpt mijn opmerking niet. Ik zeg niet dat jij gelijk hebt. Ik zeg dat ik gelijk heb en dat jouw opmerking dat bewijst.

[david-v]

Ik begrijp je opmerking heel goed. Begrijp jij mijn post wel? . Ik zeg twee keer vrijwel hetzelfde, privacy is geborgd, wie je bent is bekend bij overheid, en je zegt dat ik je daarmee gelijk geef. Wat is het probleem?

[Zoijar]

Hmmm brainstorm... de site mag dus nooit 1 op 1 met de overheid communiceren, jij als gebruiker wel...

Stel, je wilt inloggen, de site geeft jou een nonce/token, dan doe jij een request bij de overheid om deze nonce als geaccepteerd te publiceren (leeftijd ok, zeg 16+ categorie of 18+) vervolgens broadcast de overheid een continue lijst van geaccepteerde nonces per categorie, de site waar je inlogt luistert naar deze continue stroom en zoekt een match met de nonce die het jou stuurde binnen bepaald tijdsframe. Er is dan geen 1 op 1 communicatie met de site en de overheid, die weten nooit welke nonce bij welke site hoort...

Maar... is dit ergens kwetsbaar? Kan je met die publieke lijst logins kapen? Ik denk het niet want het is alleen een extra vereiste bij login. Kan de client dit scammen? Nee volgens mij niet. De site kan het negeren maar dat kan sowieso.

Werkt dit niet gewoon goed zonder enige privacyschending of benodigde trusted platform?

Ja ok een zwakte is wel als het stil is, en jij en de site zijn de enige... maar realistisch komt dat niet voor bij grote platformen.

Side note, waarom de overheid moet broadcast publiceren is omdat ze anders metadata intern aan jouw token kunnen toevoegen, en zodra een site dat token opvraagt linken ze die info. Je mag dus nooit weten welke sites welke tokens opvragen. Dus iedereen vraagt alles op.

[Reactie gewijzigd door Zoijar op 3 augustus 2026 17:33]

[XiMMiX]

Ok, we brainstormen.

De overheid hoeft de nonces niet te broadcasten. Ze kunnen een public/private key paar aanmaken en de public key publiceren. Als ze vervolgens de nonce met de private key ondertekenen en aan je terug geven kan jij de ondertekende nonce aan de website doorgeven. De website kan dan met de public key controleren of de nonce werkelijk door de overheid is getekend.

Het probleem is dat dit nog geen privacy oplevert. Door de informatie van de overheid (wie welke nonce heeft laten ondertekenen) en van de website (welke nonces hebben toegang gekregen) te combineren kan je exact herleiden wie de website bezocht heeft. En dat is voor de overheid super gemakkelijk. Een website die verplicht is/gaat worden leeftijden te controleren zal dat bij controle moeten kunnen bewijzen anders heeft zo'n verplichting geen zin. Dat kunnen ze bij controle alleen doen door de nonces die ze geaccepteerd hebben te overhandigen aan de controleur oftewel de overheid en daarmee heeft de overheid alle informatie om na te gaan wie de website heeft bezocht.

Je laatste alinea legt dit probleem ook al bloot. Je zegt "Je mag dus nooit weten welke sites welke tokens opvragen", maar de site moet deze data opslaan en de overheid kan die data opeisen. En weg is je privacy.

[phizzie]

In de brainstorm fase:

Eigenlijk verwacht ik vanwege de privacy dat je enkel kan aantonen op welk moment je welke key gebruikt hebt, niet de nonces zelf. Daarvoor moet er wel een tweede lijn bestaan, zoals bijvoorbeeld een dagelijkse challenge die je ophaalt bij de sleutelhouder, ontsleutelt, het resultaat bewaart en daarmee je administratie compleet maakt.

Technisch gezien hoeft dit niet dagelijks, maar als je het niet zo doet, c.q. periodiek met eventueel langere houdbaarheid van ontsleutelingsbewijs, dan wordt het weer makkelijk om te achterhalen wanneer ongeveer iemand goedgekeurd werd en daarmee de pool kleiner waarin je moet uitzoeken. Idealiter geldt voor elke gebruiker wanneer ook deze is toegevoegd dat deze gebruiker om het even wanneer is getoetst, maar dat er altijd achterhaald kan worden of dat met een juiste sleutel aan de sleutelbos is gebeurd.

[nzall]

Het probleem is dat de overheid MOET controleren hoe oud je bent voordat ze die nonces uitschrijven. anders heeft heel dat systeem geen nut.

Overigens is het concept achter deze app volgens mij niet dat de overheid deze nonces zelf uitschrijft, maar dat het de app is, nadat deze bij de overheid je identiteit heeft gecontroleerd, en dat de overheid niet weet wie waarvoor een nonce uitschrijft.

[Zoijar]

Ja dat broadcasten was even een brainfart, gewoon signen kan ook natuurlijk.

Verder, ja, wel goed punt...

[david-v]

maar de site moet deze data opslaan en de overheid kan die data opeisen. En weg is je privacy.

Waar kan ik teruglezen dat dit een eis is van de implementatie?

[XiMMiX]

Zo werkt de wereld. Als een bedrijf iets moet doen (toegang beperken tot 18+) moet het bedrijf dat later altijd kunnen aantonen.

[david-v]

Heb je een bron waar het terug te lezen is? Aan "zo werkt de wereld" heb ik niet zo veel.

[XiMMiX]

Op dit moment is er alleen nog maar een app in ontwikkeling. Dus de mogelijkheid tot leeftijdscontrole wordt ontwikkeld. De verplichting hier gebruik van te maken is er nog niet. Daar wordt wel aan gewerkt, maar ik heb nog geen ontwerptekst hiervoor gezien.

Overigens kun je je afvragen of de verplichting tot bewaren überhaupt nodig is om een privacy probleem te veroorzaken. Kijk naar de inbraak bij Odido eerder dit jaar. Daar bleek dat Odido niet alleen data bewaarde die ze niet verplicht waren te bewaren, maar ook data die ze verplicht waren al weer verwijderd te hebben.

[david-v]

Dus je doet en aanname en brengt het ook nog eens als een feit, terwijl daar helemaal geen basis, wet of zelfs voorstel voor is.

Dat is het probleem wat ik rond deze hele discussie zie. Een hoop aannames, onderbuik gevoel, overheid niet te vertrouwen enz. Nog voordat er maar iets op papier staat waar we iets mee kunnen gaat het over privacy die verdwijnt.

Dit brengt heel veel mensen in de war en zet ik in hetzelfde rijtje als AI hallucinaties. Het probleem is dat mensen die je posts lezen ook geloven dat het zo is en dat websites die informatie moeten bewaren. Er is een reden waarom ik naar een bron vraag, zodat mensen (waaronder ik) meerdere bronnen kunnen raadplegen om te bepalen of iets feitelijk is of een hallucinatie.

Wij hebben als techneuten of tech liefhebbers een rol in de controle van wat de overheid doet. Als we maar wat roepen zonder enige vorm van zelf reflectie dan worden we de bron voor mis informatie, hallucinaties en misleiding.

Prima om een mening te hebben, maar vermeld daar wel bij dat het om een mening gaat: "Ik denk dat de overheid straks gaat verplichten om de tokens gedurende x tijd te bewaren en te overhandigen, waardoor privacy in het geding komt" klinkt al heel anders dan wat je eerder zei: "maar de site moet deze data opslaan en de overheid kan die data opeisen. En weg is je privacy." Klein verschil, maar wel heel belangrijk. Bij de eerste kunnen we de discussie aan een over mening geven, bij de tweede wil ik een bron.

[XiMMiX]

Het is wel wat meer dan een mening.

De overheid heeft informatie over een persoon en de website heeft informatie over diezelfde persoon. Dat zijn 2 feiten. Door die informatie te combineren is de privacy van die persoon weg. Dat is een 3e feit. En dat is de basis van mijn argument.

Je kan wel wachten tot alles definitief is, tot de implementatie klaar is en de EU richtlijn in alle landen in een wet is omgezet. Maar dan ben je te laat.

[david-v]

De overheid heeft informatie over een persoon en de website heeft informatie over diezelfde persoon. Dat zijn 2 feiten. Door die informatie te combineren is de privacy van die persoon weg. Dat is een 3e feit. En dat is de basis van mijn argument.

Nee, dat zijn wederom aannames en zijn ook nog eens onjuist

The application's responses to different relying parties cannot be correlated, so a user cannot be tracked across services, and the relying party cannot build a profile from repeated interactions.

This is what "completely anonymous" means in practice: the relying party learns only the yes/no answer it needs to enforce its age policy; no linkable identifier is ever disclosed

Bron

Jij zegt dat het wel te correleren is, dat het wel te traceren is zonder daar enige vorm van bewijs of bron voor te leveren. Ik heb daar, zoals je al gemerkt hebt, veel moeite mee. Hiermee verspreid je onwaarheden en sommige mensen kiezen ervoor om jouw verhaal te geloven omdat het in hun "visie" van onbetrouwbare overheid past, ondanks mijn pogingen om met bron vermelding het tegenovergestelde te bewijzen. Dat is het punt wat ik hier probeer te maken.

[XiMMiX]

Jouw bron zegt dat de antwoorden aan verschillende "relying parties", dus verschillende websites die leeftijd willen controleren, niet gecorreleerd kunnen worden. En dat is iets dat ik nooit heb beweerd.

[david-v]

Je hebt gelijk, ik vermeld niet dat de Proof of age attestation, daar draait het allemaal om, geen enkele verwijzing heeft naar de persoon waar die voor bedoeld is. Die proof, die je levert aan de dienst waar je wilt inloggen, kan je dus niet gebruiken om te achterhalen voor wie die specifiek gemaakt is. De Proof of age attestation mag maar een beperkte set attributen hebben uit de eu.europa.ec.av.1 namespace hebben. Met andere woorden, de AP (attestation provider) heeft totaal geen correlatie gegevens om de uitgeven Proof of age attestation aan een persoon te koppelen. Dus ook al zou de website deze proof bewaren en de overheid zou het opvragen, dan weet je nog steeds niet voor wie de proof bedoeld is.

[SunnieNL]

Dat portaal draait op jouw telefoon. Dat is de app. Die heeft de combinatie.

De enige andere manier is als er een onderzoek komt. Dan vraagt de overheid aan de dienst om het token, die wordt vervolgens vergeleken aan de overheid kant of die wel is uitgegeven en welke vraag (bv 'ouder dan 18') en ID daar aan te pas kwam.

Op dat moment weet de overheid van die ene dienst dat jij hem hebt gebruikt. De andere diensten zijn dan nog steeds niet bekend. En dit gebeurd alleen bij gerechtelijk bevel, want er is geen andere reden dat de dienst dat token zou moeten geven aan de overheid.

[XiMMiX]

Dat zou dan wel een apart gebruik van de term portaal zijn. Maar er gebeuren vreemdere dingen.

Maar zoals je zelf al aangeeft in je laatste 2 alinea's is er geen sprake meer van echte privacy.

[SunnieNL]

Bij een strafrechtelijk onderzoek mag die ook best wel geschonden worden.

[Senaxx]

Jij denkt als er een mogelijkheid is om meer te gaan loggen dan nodig is niet aangegrepen wordt? Je kan er vanuit gaan dat er bij gehouden gaat worden: Welke website of app het is, op welk tijdstip dit is, wat voor device je gebruikt, van welk IP adres dit verzoek is gekomen, wat je useragent is en waarschijnlijk nog veel meer.

[SillieWous]

Jij suggereert dat de overheid zijn eigen AVG gaat overtreden? Dat is namelijk letterlijk wat je beschrijft. Het zou heel dom zijn, want dan wordt het heel snel van tafel geveegd door het EU hof lijkt mij.

[jbhc]

Je hoeft niet verder dan de toeslagenaffaire terug te kijken om je vraag beantwoord te krijgen. Zolang de verantwoordelijke personen nooit prive aansprakelijk gesteld worden zal dat ook nooit echt veranderen.

[divvid]

regimes kunnen veranderen, daar hebben we dagelijks updates over in de krant. Mijn collega in de VS is geboren uit Mexicaanse ouders die geboren zijn in de VS. Toch vreest ze elke dag weer een zeker eng clubje, ook al heeft ze de goede papieren.

Iets wat er niet is kun je niet loggen, maar ga er maar vanuit dat als het te loggen is, dat ook gebeurt (met een T, ga daar maar over nadenken)

[player-x]

@Woodsnaps

maar allerlei derde organisaties die als dekmantel dienen voor de overheid wel…

Zit hard te denken, maar kan niet zo bedenken welke.

of de AIVD…

Ja, die zullen het vast wel interessant vinden, maar die hebben nog steeds een zoekbevel van de rechter nodig, en die worden in NL iig nog steeds niet uitgedeeld als snoepjes.

regimes kunnen veranderen, daar hebben we dagelijks updates over in de krant.

Zeker, maar zie voorlopig nog steeds geen extreemrechtse partij zomaar een 50%+ meerderheid in NL krijgen

Mijn collega in de VS is geboren uit Mexicaanse ouders die geboren zijn in de VS. Toch vreest ze elke dag weer een zeker eng clubje, ook al heeft ze de goede papieren.

Ja de VS is op het moment echt f..ed-up.

Vooral in de VS (maar zeker ook de rest van de wereld) heeft Edward Bernays, letterlijk de vader van Dark Patterns, de ondergrond gelegd voor hoe de bevolking van de VS te manipuleren door de overheid en het bedrijfsleven, hier is kort stukje, en belangrijkste les, uit de 2002 BBC documentaire "The Century of the Self", om te herkennen of iemand je wil manipuleren, een les die mij altijd is bijgebleven.

Het is letterlijk de grondbasis waar MEGA op gebouwd is, de angst creëren voor het wegnemen van vrijheden en welvaart, zo perfect gemanipuleerd door de oligarchen van de VS, en rechtse politici.

Iets wat er niet is kun je niet loggen,

Zeker waar, maar het anoniem zijn op het web heeft naast zeker zijn positieve kanten, heeft het zeker ook zo zijn negatieve kanten.

maar ga er maar vanuit dat als het te loggen is, dat ook gebeurt (met een T, ga daar maar over nadenken)

Zeker, maar dat is ook afhankelijk van de wetgeving waarin het wordt ingegoten, het grootste probleem is dat mensen/massa niet de tijd erin steken om op wie te (voorkeur)stemmen, terwijl dat een van de belangrijkste dingen is om de richting van een land te beïnvloeden, en wat bv de AVID wel en niet mag doen met die data.

[vanstra]

Ook de AIVD overtreedt hier de wet.

https://nos.nl/artikel/2432715-inlichtingendiensten-moeten-grote-bak-data-burgers-verwijderen

[IskaRiot]

En in een democratie wordt daar controle op uitgeoefend door de vrije pers en het volk
Dus wat is je punt met die link? Ongestraft blijft het niet wanneer het uit komt, dat is letterlijk wat er staat. Bits of Freedom doet gewoon hun burgertaak in een democratie, en het werkt.

[VySio]

Het punt staat ook in de link: adviezen, tikken op de vingers en klachten wordt niets mee gedaan. Er staat ook dat er geitenpaadjes vanuit minister van BiZa geboden is.

Vertrouwen komt te voet en gaat te paard. Het moet zeer zwaarwegend belang zijn om data op te laten slaan en algoritmes op los te laten. En hoe belangrijk is leeftijdsverificatie nou, dat je als 16 jarig pubertje Pornhub niet mag betreden vind ik (naast onzin) niet echt zwaarwegend.

[vanstra]

Ja, wat is eigenlijk mijn punt met deze link. Waarom schrijft en publiceert de NOS eigenlijk zo'n artikel.

[IskaRiot]

Je argument met de link is er eentje van 'poison the well'. De AIVD staat onder strengere regels, oa privacy, dan de diensten in de VS waarover player-x het heeft. Dat hele betoog wordt niet onderuit gehaald door 1 incident bij de AIVD.

Sterker nog, de AIVD wordt verplicht onrechtmatig bekomen gegevens te verwijderen, ministers kijken of ze het wel compatibel kunnen maken met de wet, en jij kan achteraf weer gaan oordelen over die politici. Dit alles is een kernconcept van democracy.

De comment waarop gereageerd wordt hint naar het gebruik van sleepdata door ICE mbv de software van palantir die gebouwd is op decennia aan metadata verzamelen, en ze leggen elk rechterlijk bevel of vraag naast zich neer. Zij gaan volledig voorbij aan democratische controle.

Die link van jou zegt enkel dat ook hier fouten gebeuren, maar dat we hier nog steeds die fouten als fouten zien en aanpakken binnen ons juridisch kader.

[morphje]

Ongestraft is wanneer er geen gevolgen zijn voor de overtredende partij.

Heb jij bewijs dat er abtenaren zijn gestraft of vervolgt? Heb je bewijs dat de AIVD minder data verzameld? Heb je bewijs dat controlerende instanties meer geld en middelen toegewezen kregen als gevolg van dit schandaal?

Ik kan alleen maar concluderen dat het NIET werkt en iedereen er gewoon mee wegkomt. We hebben notabene een ministerpresident gehad die 10 jaar lang de archiefwet continue schond en daar gewoon mee wegkwam. Leg eens uit wat er werkt dan?

[Raphaelo]

Dus wat is je punt met die link? Ongestraft blijft het niet wanneer het uit komt, dat is letterlijk wat er staat.

Waar? Wie of wat is er gestraft?

[morphje]

In een functionele democratie wordt er ook daadwerkelijk een feedback uitgevoerd op basis van deze controle. Straffen noemen we deze ook wel eens.

Na vele herhalingen van geconstateerde schendingen door zowel controleinstanties, pers en andere burgerinstanties, hoeveel straffen zijn er uitgedeeld? Hoeveel activiteiten zijn er teruggedraaid? Is er uberhaupt enig zicht op minder overtredingen in plaats van steeds meer geconstateerde schendingen?

Bedrijven en de staat mogen willens en wetens de wet overtreden zonder gevolgen. Maar de burger is nagenoeg machteloos tegen beiden. Bedrijven worden bestraft met een lichte boete en gaan door. De overheid wordt veelal beloont met een wetsaanpassing en een achteraf defacto goedkeuring.

Het artikel legt nog een ander zeer pijnlijk punt bloot. De toezichthouder had een constatering gemaakt, geeft advies, wordt genegeerd en er is een burgerorganisatie nodig om alsnog af te dwingen dat de AIVD stopt. De toezichthouder is effectief tandenloos.

Dus wat is het punt? Precies dat, die democratie werkt dus niet. De gevolgen zijn slap en naleving kost onevenredig veel moeite. En het uitblijven van corrigerende maatregelen (straf, meer toezicht, etc), zal dit alleen maar leiden tot meer misbruik.(wat dus ook daadwerkelijk het patroon is).

Dus vertel ons eens: welke toegevoegde waarde heeft die controle nog?

[IskaRiot]

Wat wil jij eigenlijk zeggen? Dat we beter in een tirannie zouden leven waarin de burger helemaal geen inspraak heeft? Of in een autocratie waarbij er enkel schijninspraak is?

De toegevoegde waarde hier is dat dit voor een rechter is gebracht die hierover heeft geoordeeld en de uitspraak en gevolgen publiek zijn, en wij als burgers zo een mening kunnen vormen en die weer kunnen meepakken in onze kies-voorkeuren. Het is een rommelig proces, maar wel de enige bestuursvorm doorheen de geschiedenis die zijn heersers ter verantwoording roep.

Een instelling als AIVD is een rechtspersoon op zichzelf, deze wordt als instituut door de rechter veroordeeld, dezelde regel die jou beschermt als je op je werk iets fout doet op vraag van een leidinggevende. De firma zal veroordeeld worden, jij niet. Hoe die firma de interne verantwoordelijk afhandelt (ontslag bv) zegt de wet niets over. Individuele verantwoordelijkheid kan enkel gebeuren op vraag van een onderzoeksrechter als in de context van het onderzoek blijkt dat het individu op eigen houtje handelde.


Het blijft poison the well argumentatie: Dit is iets slechts aan democratie dat ook in dictaturen gebeurt, dus democratie is slecht.
Ipv de democratie te begraven zou je beter nadenken hoe haar te versterken. Want je burgerlijke vrijheden zullen er niet op verbeteren in een ander systeem.

[morphje]

Je draait het argument om. Nergens stel ik democratie gelijk aan slecht. Ik stel juist dat wij geen democratie hebben wegens het uitblijven van gevolgen. Ik stel dat wij al effectief leven in een tirannie met een sausje van democratie.

Ja, de overwinning van BoF is fijn, maar het is een stap op de plaats. Echter worden er constant vele stappen voortwaars gezet naar een totale controle maatschappij en jij viert een hele kleine overwinning zonder door te hebben dat je al veel verder bent afgegleden.

Een democratie zou pas functioneel werken als er een passende strafmaat of corrigerende maatregel wordt toegepast. Die is nu uitgebleven. Het toezicht is niet verscherpt, de controle budgetten zijn onverminderd laag, de toezichthouder heeft niet meer rechten gekregen en er is niemand ontslagen/vervolgd. Er is zelfs niet eens een excuses online geplaatst.

Ook het argument dat de AIVD een rechtspersoon is, is weer lekker gemakkelijk om de verantwoordelijkheden (ministers, topambtenaren, etc) vrij te waren van elke vorm van gevolg. Je laat de strafmaat indirect over aan een organisatie die geen enkele incentive heeft om de verantwoordelijken ter verantwoording te roepen. Wat juist weer verder misbruik aanmoedigd. (lees: nog meer schijninspraak). Sterker nog, de wetgeving verbied zelfs expliciet de vervolging van topambtenaren.

Nee, ik beargumenteer dat de democratie simpelweg niet (meer) bestaat en dat wij nu al leven in een tirannie. En dit is slechts een heel klein puntje in het gedrocht van het politieke landschap dat we een democratie durven te noemen.

[IskaRiot]

Jammer dat je dat denkt dan, en dit meen ik oprecht. Je hebt het voorrecht te leven in een deel van de wereld waar je dit alles gewoon vrij mag zeggen, je er rond kan organiseren en pijnpunten proberen aanpakken. Dat is wat democratie ons biedt, en waar BoF gebruik van maakt. Als niemand het doet zou jij wel eens kunnen ondervinden wat een tirannie echt is.

[morphje]

Ik heb het voorrecht te mogen wonen in een gouden kooi, waar ik mag spreken in tegenstelling tot mijn broeders in de stalen kooi.

Het veranderd nog steeds niks aan het feit dat er nagenoeg niks gebeurd met dit recht. Je zit nog steeds in een kooi. De regering heeft bewust gekozen voor een adviesrecht voor de toezichthouder, omdat het zich wil laten corrigeren. En nu via een omweg wordt een pyrrusoverwinning behaald, woohoo.

Dit voorrecht heeft ons een hele stap terug opgeleverd. Daar waar tientallen stappen voorwaarts zijn gezet. Is dat nou echt winst? Is dat nou echt een voorrecht?

[IskaRiot]

Ik zou je aanraden vrijheid positief te gaan invullen, de vrijheid tot...
De vrijheid tot protesteren, de vrijheid tot verzamelen, organisatie,... en deze te beleven.

Want het negatieve vrijheidsideaal, vrijheid van... van de baas, van de regering, van je vervelende buren... de absolute vrijheid... dat is zelfbedrog. Heeft nooit bestaan en zal nooit bestaan. Je zal nooit vrij zijn van medeburgers, belangenconflicten, menselijke fouten met gevolgen... dat is deel van het menselijk bestaan.
En mocht de absolute vrijheid bestaan, het is de vrijheid van een vis alleen te zijn in de zee. Een vrijheid die iedereen eenzaam achter laat.

Wil je vrij zijn van politiek, dat kan, maar dan eindig je idd in een gouden kooi, alleen en vereenzaamd.

[XiMMiX]

@Woodsnaps

[...]

Zit hard te denken, maar kan niet zo bedenken welke.


[...]

Ja, die zullen het vast wel interessant vinden, maar die hebben nog steeds een zoekbevel van de rechter nodig, en die worden in NL iig nog steeds niet uitgedeeld als snoepjes.

Nee dus, AIVD heeft geen toestemming van de rechter nodig. De minister geeft toestemming, al dan niet ondersteund/gecontroleerd door een speciale toetsingscommissie. Meer dan 95% van de ruim drie duizend aanvragen per jaar worden goedgekeurd. En als er spoed bij is dan wordt toestemming achteraf geregeld, dat gebeurd 100 keer per jaar. Dus gemiddeld elke 3 a 4 dagen een keer. Dat klinkt verdacht veel als "snoepjes".

[player-x]

Nee dus, AIVD heeft geen toestemming van de rechter nodig. De minister geeft toestemming, al dan niet ondersteund/gecontroleerd door een speciale toetsingscommissie.

Is dat zo?

De Toetsingscommissie Inzet Bevoegdheden (TIB) bestaat uit drie leden. Eén van de leden is voorzitter. Ten minste twee van de drie leden moeten een achtergrond als rechter hebben. Het derde lid hoeft geen rechterlijke achtergrond te hebben, maar kan worden benoemd op grond van technische deskundigheid. Daarnaast beschikt de TIB ook over drie plaatsvervangende leden, twee juridisch deskundige plaatsvervangende leden en één technisch deskundig plaatsvervangend lid. De commissie wordt ondersteund door een secretariaat.

De Toetsingscommissie bestaat imho uit mensen met een redelijk aantoonbare integriteit, als jij denkt dat het niet zo is, hun namen zijn bekend, dus kijk wat je kan vinden.

De Toetsingscommissie doet werk dat gewoon geheim moet blijven, en mensen die onderzocht worden vallen nog steeds onder het Nederlandse recht, en kunnen niet veroordeeld worden, als het onderzoek naar hen geen rechtsmatige basis heeft.

En ik denk dat elke strafrechtelijke en/of politieke journalist wel een van die namen in zijn CV wil hebben staan, dat hij een van de leden van die commissie op integriteitsproblemen heeft kunnen betrappen.

Jij doet net alsof het AIVD een groepje losgeslagen Stasi-achtige beschermers van de rijken en invloedrijk Nederland is.

Ik ken iemand (broer van een vriend) die bij de BVD binnengekomen is en nu als leidinggevende bij het AVID werkt. Je zou verbaasd zijn hoe breed er onder de bevolkingsgroepen wordt gezocht naar personeel. Ja, als radicaal links of rechts maak je geen kans.

Maar onder voormalig radicale links of rechtse mensen wordt hard gezocht, en alles wat er tussenin zit, het is bewust een hele brede groep mensen, om te voorkomen dat er geen blinde vlekken in hun zichtveld zitten, en die bij mijn "sampel of one" overgekomen is als hardwerkend, en het beste voor heeft met NL.

Meer dan 95% van de ruim drie duizend aanvragen per jaar worden goedgekeurd. En als er spoed bij is dan wordt toestemming achteraf geregeld, dat gebeurd 100 keer per jaar. Dus gemiddeld elke 3 a 4 dagen een keer. Dat klinkt verdacht veel als "snoepjes".

Heb het heel ruim genomen, en het voor elk onderzoek het iig gaat over 3 mensen.

• 10.000 van 18.1M is 0,0552%
• 300 van 18.1M is 0,00166%

Persoonlijk vind ik het zelfs heel laag, en worden er onschuldige mensen onderzocht, vast en zeker wel, dat hoort bij dat werk, maar het is naïef om te denken dat het niet nodig is.

Want er zijn zeker bedreigingen voor onze samenleving, dat bijvoorbeeld de Hofstadgroep is opgerold, wil niet zeggen dat er geen bedreigingen meer zijn, en dat er niet meer zijn in NL is een teken dat de AIVD zijn werk goed doet, en daarnaast, de AIVD doet ook onderzoek naar bedrijfspionage. tag: Spionage (Tweakers berichten van de laatste 12 maanden)

Als je het over een historisch losgeslagen groep wil hebben, dan is het de CIA wel.

Wikipedia: United States involvement in regime change met meest beruchte, operatie AJAX de 1953 Iranian coup d'état, waar uit veel van de shit waar we nu in zitten voort komt.

[Raphaelo]

n=1 argument.

[player-x]

Ja, het is een "sample of one"!

Maar wat jij dus zegt is, dat als jij over de jaren hebt gesproken met iemand, en letterlijk over van alles en nog wat, inclusief in totaal een paar uur over zijn werk, zij het bij noodzaak cryptisch, dat je dan geen gevoel krijgt hoe zijn werkomgeving is? Oké.

[XiMMiX]

[...]

Is dat zo?

Ja, minister moet toestemming verlenen. Toen de meerderheid van NL bij het referendum over de zgn Sleepwet tegen stemde is het wetsvoorstel aangepast en de toetsingscommissie toegevoegd.

De Toetsingscommissie bestaat imho uit mensen met een redelijk aantoonbare integriteit, als jij denkt dat het niet zo is, hun namen zijn bekend, dus kijk wat je kan vinden.

De Toetsingscommissie doet werk dat gewoon geheim moet blijven, en mensen die onderzocht worden vallen nog steeds onder het Nederlandse recht, en kunnen niet veroordeeld worden, als het onderzoek naar hen geen rechtsmatige basis heeft.

En ik denk dat elke strafrechtelijke en/of politieke journalist wel een van die namen in zijn CV wil hebben staan, dat hij een van de leden van die commissie op integriteitsproblemen heeft kunnen betrappen.

Jij doet net alsof het AIVD een groepje losgeslagen Stasi-achtige beschermers van de rijken en invloedrijk Nederland is.

Ik ken iemand (broer van een vriend) die bij de BVD binnengekomen is en nu als leidinggevende bij het AVID werkt. Je zou verbaasd zijn hoe breed er onder de bevolkingsgroepen wordt gezocht naar personeel. Ja, als radicaal links of rechts maak je geen kans.

Maar onder voormalig radicale links of rechtse mensen wordt hard gezocht, en alles wat er tussenin zit, het is bewust een hele brede groep mensen, om te voorkomen dat er geen blinde vlekken in hun zichtveld zitten, en die bij mijn "sampel of one" overgekomen is als hardwerkend, en het beste voor heeft met NL.


[...]

Heb het heel ruim genomen, en het voor elk onderzoek het iig gaat over 3 mensen.

• 10.000 van 18.1M is 0,0552%
• 300 van 18.1M is 0,00166%

Persoonlijk vind ik het zelfs heel laag, en worden er onschuldige mensen onderzocht, vast en zeker wel, dat hoort bij dat werk, maar het is naïef om te denken dat het niet nodig is.

Want er zijn zeker bedreigingen voor onze samenleving, dat bijvoorbeeld de Hofstadgroep is opgerold, wil niet zeggen dat er geen bedreigingen meer zijn, en dat er niet meer zijn in NL is een teken dat de AIVD zijn werk goed doet, en daarnaast, de AIVD doet ook onderzoek naar bedrijfspionage. tag: Spionage (Tweakers berichten van de laatste 12 maanden)

Als je het over een historisch losgeslagen groep wil hebben, dan is het de CIA wel.

Wikipedia: United States involvement in regime change met meest beruchte, operatie AJAX de 1953 Iranian coup d'état, waar uit veel van de shit waar we nu in zitten voort komt.

Ok, misschien overdreef ik een beetje met mijn opmerking over snoepjes. Het is op dit moment wellicht nog niet zo erg gesteld.
Maar ik heb wel een aantal opmerkingen bij jouw redenatie:
* het gaat er niet alleen om wie er _nu_ in die toetsingscommissie zitten. Maar ook in de toekomst. Het is gemakkelijker de leden van een toetsingscommissie te vervangen dan rechters. Door het bij de rechter weg te halen en bij de minister neer te leggen torn je aan de scheiding der machten.
* Jouw inschatting van 3 personen klopt wellicht als ze al een verdachte hebben. Maar de wet die regelt wat de AIVD mag wat betreft afluisteren, inbreken in computers etc. heeft niet voor niets de bijnaam Sleepwet gekregen. De AIVD mag dus ook zonder specifieke verdachte communicatie afluisteren, bijvoorbeeld alle communicatie van een satelliet link of van een fiber in een datakabel. En daarmee treffen ze waarschijnlijk duizenden mensen zo niet meer per intercept.
* En die ongericht afgeluisterde communicatie mogen ze delen met buitenlandse inlichtendiensten. Ook met de historisch losgeslagen groep als de CIA. Al moet ik wel toegeven dat hier naar aanleiding van het referendum over de Sleepwet wel wat beperkingen op zijn toegevoegd, ik weet niet precies meer welke. Maar het is niet volledig geschrapt.

[player-x]

Het is gemakkelijker de leden van een toetsingscommissie te vervangen dan rechters. Door het bij de rechter weg te halen en bij de minister neer te leggen torn je aan de scheiding der machten.

Tja, we krijgen dan de lijders/volksvertegenwoordigers die we verdienen, iedereen neemt democratie maar voor iets normaals, en de leiders proberen tedoen wat het beste is voor het land.

We zien o.a. in de VS & RU wat er gebeurt als we niet opletten.

[ShadLink]

De AVG geldt NIET voor de overheid vanwege "wettelijke ondergrond". Dat is een legitieme reden (volgens de AVG wet) om gegevens te verzamelen. Dus als ze een wet schrijven dat ze die gegevens van je moeten weten, dan kunnen ze die gegevens gewoon verzamelen. Zonder dat jij daar ook maar iets tegen kan doen.

[arjankoole]

AVG geld OOK voor de overheid, maar ze kunnen als ze een wettelijk mandaat hebben wel een uitzondering krijgen. Maar dan MOET er een expliciet wettelijk mandaat liggen.

De laatste overheid toko waar ik rondliep hadden ze daar echt bijzonder knappe koppen op zitten. Die konden je precies uitleggen hoe/wat/waarom. (en dat deden ze ook met veel passie)

[Woodsnaps]

“De overheid” misschien niet direct nee… maar allerlei derde organisaties die als dekmantel dienen voor de overheid wel… of de AIVD…

[morphje]

Ja, dat zal en gaat de "eigen" overheid doen.

Bewijs vraag je? Chatcontrol. De talloze decryptiediscussies. De bestaande aftapmogelijkheden en de vele duizenden ongecontroleerde en achteraf op de vingers getikte AIVD en MIVD. De lijst is lang, heel lang.

De vraag is niet of ze het willen doen, maar meer hoeveel bewijs je al wil hebben dat ze het allang doen.

[Jacco011]

Tweakers weet ook welke browser, welk besturingssysteem, welke tijd en IP jij gebruikt.

[Mayonaise]

Enkel weten ze niet of ik dat allemaal spoof

[Travelan]

Strict genomen weten ze alleen het IP, en ook alleen dan wanneer ik dat niet verberg met een VPN of Tor. De rest is kinderspel om te omzeilen (vrijwel elke browser extensie voor privacy heeft dat ingebouwd).

[Z80]

Ook dat hoeft niet eens. Indien via 4 of 5G zit en je gebruikt IPv4, zit je meestal achter een NAT. Indien je bent ingelogd weten ze enkel je loginnaam en tijdstip zeker. Al het andere is een aanname.

Ja ik weet het. Er zijn apparaten via 4 of 5 g met een vast ip. Maar dat zijn de uitzonderingen. En die gebruik je niet als je de rest van de gegevens gaat spoofen.

[Keyb]

Ongeveer wat ik heb gebouwd met https://identified.app/

Verschil is dat ik geen portaal heb maar ik als broker dien voor een FHE blob die leeftijd kan attesteren. De enige plek waar je leeftijd/paspoort data tijdelijk opgeslagen is is je telefoon.

Ik heb nog geen GrapheneOS telefoon liggen, maar daar wil ik ook nog een apk voor bouwen en testen.

[DdeM]

Probleem met alleen lokaal is alleen dat dat gefaked kan worden. Hoe checkt jou app dat het om een geldig document gaat bijvoorbeeld? En hoe weet je de het gescande document wel daadwerkelijk van de huidige gebruiker is?

[Keyb]

NFC data op paspoorten is signed en niet triviaal te faken. De nfc data bevat ook een foto die in de app gecontroleerd wordt met een liveness check.

[Reactie gewijzigd door Keyb op 3 augustus 2026 17:37]

[Heli0s]

Ok, maar dit gaat helemaal in tegen het idee van een vrij en open internet. Er wordt iederekeer drogreden ingezet om nieuwe wetten te maken.

[SunnieNL]

Een vrij en open internet houdt niet in dat je je niet aan de wet hoeft te houden als dienst (en klant) op dat open en vrije internet.

Er is ook freedom of speech, maar dat houdt niet in dat je zomaar alles mag zeggen.

[Blokker_1999]

Heel de opzet is net dat het kan op een manier waarbij die informatie verborgen wordt voor elkaar. De overheid krijgt niet te zien waar jij gaat aanmelden, de website krijgt niet te zien wie jij bent, alleen maar of je ouder danwel jonger bent dan 18.

[Z80]

Klinkt leuk. Maar is er enige garantie?

Uit het verleden is namelijk al vaker gebleken dat anoniem en geanonimiseerde data toch niet anoniem bleken.

En eenmaal de geest uit de fles dan is het onmogelijk om deze er weer in te krijgen. Met andere woorden als de data op straat ligt en er komt een minder vriendelijke mogendheid aan de macht is er geen houden meer aan. Met als voorbeeld WO2 en de joden vervolging. Prachtig geregistreerd toen er nog niets aan de hand was. Maar later misbruikt voor het opsporen van niet gewenste personen.

[david-v]

Klinkt leuk. Maar is er enige garantie?

Kan je zeker wel afdwingen. Bijvoorbeeld door de apps opensource te maken én de builds verifieerbaar, vergelijkbaar met wat Signal doet.

[zyberteq]

Ik ben vooral bang dat Google Play Integrity en Apple App Attest sowieso een vereiste gaan worden voor bank apps. Dus zometeen MOET je Google Wallet gebruiken op je gecertificeerde Android telefoon om uberhaupt te kunnen bankieren. Gelukkig is er de fysieke pas nog, maar dan wordt het wel heel lastig om uit het Android/Apple (VS) ecosysteem te stappen. En dat wil ik wel graag.

[haarbal]

Waarom? De bank weet toch alles al.

[Z80]

Correct de BANK. maar Google en Apple zijn geen banken. En zijn dan ook niet beperkt wat ze wel/niet mogen met alle data die ze verkrijgen met de transacties. Dat is het probleem.

[CAPSLOCK2000]

Waarom? De bank weet toch alles al.

Het gaat volgens mij niet om de bank-app zelf.
Het gaat er om dat die bank-app mogelijk weigert te starten als je app installeert op een ander OS, zoals een custom ROM, of wanneer je apps installeert uit een andere bron dan de Google/Apple appstore. Dat betekent dus ook dat je niks meer kan doen om jezelf te beschermen als Google wil meekijken. Als je zelf de ongewenste software van Google verwijdert dan kom je niet meer door de "integrity"-check heen en kun je dus niet bankieren.

[rko4u]

En juist alles wat EU en europese nationale overheid zou moeten naleven, een mogelijkheid om volledig af te stappen van Amerikaanse bedrijven. Ze zouden in dit verhaal juist alle niet Europese diensten er tussenuit joeten houden.

[nzall]

De kans is groot dat het voor ALLES zal gebruikt worden waarvoor wettelijk een minimumleeftijd is vastgesteld: sociale media, maar ook erotiek, gokken, alcohol kopen (zowel op café als bij de winkel), softdrugs kopen,... Alles waarbij er wel een leeftijdbewijs nodig is, maar niet noodzakelijk een identiteitsbewijs.

[SunnieNL]

En dat is in mijn ogen een goede zaak. Dat had bv bij Odido voorkomen dat er ID gegevens op straat komen te liggen bij een datalek.

[Arhan]

Ik vraag me af in hoe verre VPN's een oplossing de ge-verificatie te omzeilen.

[arbraxas]

Je moet straks verifieren om een VPN te kunnen gebruiken...........................

[leegethas]

Jij snapt het. En niet alleen dit, ook quality of life zaken. Zoals 4K via streamingdiensten. Want dat doet het alleen onder Windows, waar ze totale controle hebben. Je bent vrij om van Windows af te stappen, maar dit zal stapje voor stapje onbruikbaar gemaakt worden, om je uiteindelijk weer naar een totaal gecontroleerde omgeving als Windows terug te treiteren.

[arjankoole]

de overheid komt het ook niet te weten.

website a vraagt aan broker b (die jou kent, bijvoorbeeld je bank) of je 18 jaar of ouder bent. Daarom komt alleen een true of false terug. De website zal dat loggen. De broker hoeft dat niet eens te doen. Je privacy is dan expliciet geborgd. (zolang je 't via een betrouwbare broker doet, en niet facebook oid)

[david-v]

Zo werkt het ook niet. Want dan weet de broker, je bank, welke websites je bezoekt. De bedoeling is dat beide, de website en je bank in je voorbeeld, geen directe interactie hebben.

When presented to online service providers, the proof of age only informs that the user is over 18 years, not who the user is or any other personal data like the exact age. Conversely, the trusted proof provider is not informed about online services for which the user presents the 18+ proof. To prevent linkability of transactions, proofs are issued in batches, for one-time use only.

Bron

[arjankoole]

ik zeg er niet bij dat de website doorgeeft WELKE website.

dat loopt gewoon via een company profile. Bijvoorbeeld van een hoster of holding.

[david-v]

Het gaat om deze zin:

website a vraagt aan broker b (die jou kent, bijvoorbeeld je bank) of je 18 jaar of ouder bent

dat is niet hoe het werkt als ik de documentatie lees. website a vraagt aan jou om een "token" of "proof" te overhandigen die aangeeft dat je 18+ bent. Website a gaat dus niet bij broker b vragen of je wel 18+ bent. Die tokens of proofs die je overhandigd krijg je in een set van broker b, bijvoorbeeld als je de App voor het eerst instaleert, los van het verificatie proces bij website a.

[jpsch]

Geen sociale media? En Tweakers dan?

[kozue]

Tweakers is geen sociale media, dat is een nieuwssite. Ik hoop dat je het verschil kan zien tussen een platform wat gemaakt is om zoveel mogelijk gebruikersreacties/interacties uit te lokken en een site die primair bedoeld is voor nieuwsberichten? Beetje vreemd om alles waar je opmerkingen onder kan posten maar een social medium te noemen niet?

[Travelan]

Je vergeet GoT...

[kozue]

Een forum is ook geen social media hoor. Forums hadden we in de jaren 90 al, ver voordat echte social media ooit op de radar stonden.

[evilution]

Dus in de jaren 90 hadden wel al social media alleen heette het toen nog niet zo.

[Travelan]

Dat forums al in de jaren 90 bestonden, zegt natuurlijk niets over de categorie waar we ze tegenwoordig onder scharen. Social media is een verzamelterm, niet een synoniem voor Facebook-achtige sociale netwerken.

De European Data Protection Board omschrijft sociale media voor de AVG als "onlineplatforms waarop netwerken en gemeenschappen van gebruikers ontstaan en waar gebruikers informatie en content met elkaar delen". Daar voldoet een forum gewoon aan.

Ik vond ook een Brits onderzoeksrapport die het zelfs letterlijk zegt:

"social media such as social network sites, blogs, wikis, and online discussion forums."

Het ECDC hanteert eveneens een functionele definitie: online omgevingen waar interactie een hoofddoel is. Ik weet niet of je wel eens op GoT bent geweest, maar... ;-)

Je kunt dus prima zeggen dat een forum geen modern social-networking platform zoals Facebook is. Maar zeggen dat een forum daarom geen sociale media is, vind ik vooral een te beperkte definitie achteraf.

[xorpd]

Interactie tussen site en gebruikers en gebruikers onderling, check. Gebruikers leveren content, check. Tweakers is echt wel sociale media. Geenstijl is toch ook sociale media?

[DrBlond]

Tweakers gebruikt geen verslavende algoritmes. Social media (Facebook etc) wel. Tweakers modereert. Tweakers gaat voornamelijk over techniek.

Het ging toch over het beschermen van kinderen. Volgens mij weten we echt wel welke sites we bedoelen met social media. Voor Tweakers hoeven we echt geen id check in te voeren.

[CAPSLOCK2000]

Volgens mij weten we echt wel welke sites we bedoelen met social media.

De vraag is alleen of de wetgever dat ook zo ziet, of dat die doorschiet en bang is dat hier op het forum kinderen gepest of gegroomed worden. De term 'social media' zegt niks over algoritmes of moderatie, het gaat over 'social'. Onder 'sociaal gedrag' kun je veel schuiven, inclusief flinke stukken van Tweakers.

[CAPSLOCK2000]

Tweakers is geen sociale media, dat is een nieuwssite. Ik hoop dat je het verschil kan zien tussen een platform wat gemaakt is om zoveel mogelijk gebruikersreacties/interacties uit te lokken ...

Ik ben het op zich met je eens, maar zo zal het wettelijk nooit gedefinieerd worden.
Ik maak me zorgen dat dit soort regels gaan gelden voor alle sites waar je berichten of andere "user generated content" kan achterlaten. Op al die plekken zouden immers enge mensen kunnen komen om kinderen te lokken of terroristen te recruteren of zo iets. Dan blijft er niet veel van het open internet over.

[Averitiamiku]

De overheid vind nu al dat brave browser onveiliger is dan google chrome, edge enzovoort, DE data collectie browsers zijn zogenaamd veiliger en de overheid vind dus dat iedereen zich maar moet aanpassen en safari of google op de telefoon moet hebben als zij willen kijken op mijnoverheid of dergelijke ook voor medische noodzaak moeten we zoeits gebruiken terwijl helft van de tijd digID weer storing heeft, de website vind dat je te sloom bent of dat je browser niet word geaccepteert, vrijheid is toch echt aan het verdwijnen en iedereen die privacy wil en vrijheid die word gezien als paranoide of nog veel veel erger (laatst met die agenten die logen over iets heel ergs omdat de ontschuldige man grapheneOS op zn telefoon had en een duress code invoerde)

[nugscree]

Firefox/Waterfox werken hier zonder problemen voor overheidswebsites en login portals op m'n telefoon, zelfs met ublock origin standaard aan.

[lighting_]

De glijdende schaal. Straks geldt het voor alle forums zoals op Tweakers

[Mfpower]

Je zit hier. Social media is erg dun gedefinieerd. Dat is onderdeel van het probleem.

[Pendora]

Ik dacht dat binnen de EU het wel duidelijk was dat we van US software af wilden maar nu gaan we toch via Chatcontrol, Google Integrity en nu de leeftijdscontrole ons volledig locken in de duopolie van de US Google en Apple ossen.

[JustFogMaxi]

Het is een feature van Android. Dan moet je helemaal weg van Android of je gebruikt gewoon de opties ervan.

[kozue]

Ze moeten dan ook geen app bouwen maar een specificatie vrijgeven waarmee iedereen een app kan bouwen. Dan kan er een app voor ieder platform en OS gebouwd worden, inclusief non-Google Android (Graphene, /e/OS, etc) en Linux. Een gesloten app zoals dit is per definitie een lock-in.

[david-v]

Is dat niet wat ze precies gedaan hebben? Specificaties vrijgeven?

[kozue]

Als dat zo zou zijn, zou er toch niks aan de hand zijn? Dan bouwt iemand anders wel een app voor buitengesloten platformen die geen Google Play meuk vereist, of iets dergelijks. Ik ken alle details ook niet, maar na het lezen van het artikel had ik niet het idee dat het hier om vrijgegeven specs ging, maar om specs die aan 1 ontwikkelaar opgelegd waren die namens de EU een app bouwt.

[david-v]

De specificaties kan je hier teruglezen

[uiltje]

Dat is het probleem niet. Het probleem is dat je een attestation nodig hebt om te controleren dat die leeftijdsverificatie wel van een betrouwbaar systeem komt. Als dat niet het geval is dan kan iedereen elkaar hun verificatie app & data toesturen. De standaarden zijn vrij en meestal is ook de software open source. Maar dan nog moet het wel betrouwbaar zijn richting de controlerende partij. Hier wringt de voet: helemaal open werkt niet, dus ben je dan afhankelijk van partijen als Apple, Google en/of manufacturers.

[kozue]

Maar waarom zouden Google en Apple samen mogen bepalen wat een betrouwbaar systeem is? Mijn /e/OS telefoon zonder enige vorm van Google software erop vind ik betrouwbaarder dan alles wat met Google Play komt.

[uiltje]

Het gaat erom dat een partij zorgt dat 1. een bedrijf instaat voor de correcte werking van de applicatie (zodat je bijvoorbeeld geen proxy kan gebruiken) en 2. dat je er geen keys vanaf kan exporteren want in dat geval je de ID gegevens ook op een andere telefoon zetten. Het gaat niet om het vertrouwen van het OS, dat is aan jou.

[kozue]

Maar dat is dus compleet onwenselijk. Dat er 1 (of 2) bedrijf de macht heeft over iets wat een hoop mensen gebruiken of zelfs afhankelijk van zijn. Dat heb je nu al met telefoons, en daar moeten we ook vanaf. Dit nog meer uitbreiden moeten we niet willen, zeker niet met Amerikaanse partijen. Bedrijven willen per definitie geld aan je verdienen, en ze dit soort machtsmiddelen geven leid geheid tot misbruik, zeker met toko's als Google met een complete historie aan misbruik.

Dit hele verhaal over vertrouwen is sowieso compleet overtrokken. Ik kan ook m'n bankzaken doen op een Linux computer, die ik zelf kan compileren met eigen aanpassingen. Als dat geen probleem is, waarom zou dat hier wel zo zijn?

[uiltje]

Dat is een probleem omdat voor je bankzaken jij de pineut bent als het misbruikt wordt, terwijl bij het verifiëren op leeftijd de andere partij afhankelijk is van de gebruiker. Ander asset, ander risico, ander aanvalsprofiel en dus andere requirements voor de security measures.

[VOODOO_WILLIE]

Tja. Het is dezelfde gaslighting als met die ING scanner zooi.

iDeal mocht niet in amerikaanse handen komen (want risico) maar de opvolger WERO kan (bij ING) doodleuk alleen maar met de app ...

Ik vraag me serieus af wanneer het besef eens komt dat het gewoon hetzelfde clubje is dat via dit soort "verwarrende" één-tweetjes iedereen alsnog in hetzelfde totalitaire controlesysteem wil rotzooien.

[rejer]

Dat deze app anoniem zou zijn is een illusie; via verplichte hardware-attestation bouwt men gewoon aan een digitale controle-infrastructuur. Dit gaat altijd via de bekende druppelmethode: nu accepteren we dit onder het mom van bescherming, waardoor de drempel voor de volgende, nog ingrijpendere stap straks weer een stuk lager ligt.

[ZpAz]

Het gaat om zero-knowledge-proof eg wel cryptografisch het bewijs dat je voldoet aan eis, bijvoorbeeld dat je ouder bent dan 18. Maar geen verdere identificatie. Imho is dit de enige juiste implementatie op schaal.

Wikipedia: Zero-knowledge proof

[Reactie gewijzigd door ZpAz op 3 augustus 2026 15:42]

[ShadLink]

Er is helemaal NIKS zero knowledga aan deze app. De app moet je inloggen met je id-kaart. Dus er is soweiso kennis in de app zelf.

[david-v]

Met zero-knowledge wordt bedoeld dat de dienst die jij bezoekt niet weet wie je bent en dat de broker niet weet maar welke dienst je gaat. Je moet wel aan de broker laten weten wie je bent, anders kunnen ze niet een proof geven aan jou dat je 18+ bent. Je bank weet trouwens al wie je bent, die hebben een kopie van je ID.

[ZpAz]

Ja, ergens moet de source of trust zijn inderdaad. Maar liever dat deze op één plaats is - bij je democratisch verkozen vertegenwoordiger, dan dat elke privaat (eg Google, Facebook etc) apart zelf ook nog je ID kaart etc willen opslaan. Want de verkozen tegenwoordiger heeft hem toch al.

[Keyb]

ZKP is niet de enige, FHE is imo een nog betere oplossing.

Wikipedia: Homomorphic encryption

[Reactie gewijzigd door Keyb op 3 augustus 2026 16:14]

[uiltje]

Dat is niet de juiste tool. FHE gebruik je om wiskundige berekeningen te doen op versleutelde data. Uiteindelijk ontsleutel je die data echter, en dat zou gebeuren bij de controlerende partij. Het heeft raakvlakken met ZKP, maar dit is qua eigenschappen niet wat je zoekt.

[Keyb]

Dat is niet correct. Je ontsleutelt die data niet. En een leeftijd attestatie op een datum is gewoon een berekening op de versleutelde data. Valt prima binnen FHE uit te voeren. Imo een prima tool voor deze toepassing.

[uiltje]

Ach ja, die 25 jaar in het vak, dat ik dit nou nog steeds niet snap! Bedankt!

[Keyb]

Ahja die 25 jaar ervaring die ik niet heb zeker? Top!

[indigo79]

Dat kan even goed via de bestaande aanbieders van identificatiediensten. Ik krijg een random token van een dienst die mijn leeftijd wil verifiëren, ik vraag aan DigiD/Itsme/... mijn +16/+18/... claim te ondertekenen en geef dat pakketje terug. Absoluut geen nood aan "vertrouwde" hardware.

[gesmurfed]

Anonimiteit op het internet heeft nooit echt bestaan..

[i7x]

Zonde dat ze überhaupt met zo’n eigen app komen. Zou gewoon native door het os gedaan kunnen worden. Er zijn nu ook al parental controls/kinder accounts.

[xorpd]

Careful what you wish for. Dat zou namelijk impliceren dat je pc niet meer van jou is. Want iemand anders bepaalt wat je wel en niet mag draaien qua software.

[rko4u]

Je PC is van jou, de software die er op staat niet.

[xorpd]

Daar gaat het niet om. Het gaat erom welke software je wel en niet mag draaien. Nooit op een managed laptop gewerkt? Die is niet van jou...

[BvdW1978]

Werklaptop is inderdaad niet van mij maar van mijn werkgever. Apparatuur die ik van mijn eigen geld gekocht heb met een OS van eigen keuze erop is wel degelijk van mij. Wie heeft daar iets te "attesten" anders dan ikzelf?

[rko4u]

De managed laptop is van de baas of zijn leverancier, maar dat neemt nog steeds niet weg dat je voor de software (waaronder het OS) alleen een gebruikslicentie hebt en dus je software producent (binnen de wet) mag bepalen wat daarop draait en wat niet.

[xorpd]

Ik bepaal toch echt zelf wat ik draai op mijn eigen pc, waaronder welk OS.

[GeeBee]

Klopt.

Alleen kan wordt bepaald dat jij alleen nog maar kunt bankieren op een Windows-gecertificeerde PC met Global Identifiers. Dus dat Linux standaard wordt geblokkeerd. En dan mag je lekker zelf bepalen dat je Linux als OS wilt hebben, voor de rest ben je gewoon de sjaak.

[Kaasrol]

FOSS software is wel degelijk van jou.

[rko4u]

Je mag het vrij gebruiken en soms zelfs aanpassen, maar het is ook daarmee niet van jou.

[Kaasrol]

Wikipedia: Free and open-source software

Vrijelijk gebruiken, aanpassen en distribueren. Hoe definieer jij eigenaarschap?

[wooha]

Wikipedia: Ownership

This legal entitlement generally enables its holder to exercise exclusive rights of use in relation to the subject matter of the IP.

Daaronder valt het recht van een eigenaar om code te verspreiden onder een licentie met meer restricties. Dat recht hebben licentiehouders op code onder de GPL bijvoorbeeld niet. Dit verschilt enorm tussen verschillende FOSS licenties.

[BvdW1978]

Zeker wel. Veel meer "van mij" dan FreeBSD gaat het hier op MIJN PC niet worden.

[rko4u]

Dus u denkt dat u FreeBSD bezit? Nee, u mag het gebruiken!

[BvdW1978]

Dat denk ik helemaal niet. De BSD-licentie staat mij echter zoveel toe dat ik het de-facto kan en mag gebruiken alsof het mijn eigendom is. Het enige wat ik niet mag doen, is er de copyright-notice uitslopen. Dat heeft geen enkele functionele implicatie.

[rko4u]

Ergo, u bent geen eigenaar van de software.

[BvdW1978]

In de zin van intellectueel eigendom juridisch niet inderdaad.

Ik kan en mag met deze software echter in ALLE aspecten doen wat ik wil zonder enige vorm van ruggespraak. Dit recht kan mij ook niet ontnomen worden. De enige voorwaarde die de eigenaar van het intellectueel eigendom stelt, is dat ik bij herverspreiding de copyright-notice laat staan.

Heb ik dus alle rechten en vrijheden die de eigenaar van een zaak normaliter toekomen? Absoluut zeker wel. Bij eigen gebruik mag ik namelijk met de copyright-notice ook nog eens doen wat ik zelf wil.

[downtime]

Jij bepaalt nu ook niet welke apps Microsoft, Google of Apple in hun OS integreren.

[BvdW1978]

Ik bepaald honderd procent wat er wel en niet op mijn PC gebeurt. En nee ik draai daar natuurlijk geen Windows op.

[kozue]

Waarmee je dus weer een afhankelijkheid op het OS inbouwt en alles buiten gaat sluiten wat zoiets niet wil implementeren...

[i7x]

Daarbuiten kun je best nog een oplossing bieden, maar als de App Store al mijn leeftijd weet dan is het zonde een extra systeem te bouwen om hetzelfde te doen. Zou native veel netter opgelost kunnen worden.

[kozue]

Alles leuk en aardig dat de App Store jouw leeftijd weet, maar niet alle stores weten dat. Zeker apt/dnf op Linux gaan zoiets nooit ondersteunen. En anders installeer je het gewoon buiten de store om?

[BvdW1978]

Als ouder van een minderjarige ben ik er verantwoordelijk voor dat hij de wet niet overtreedt. Men mag zich bij mij melden. Het is werkelijk vezopen dat de staat zich hiermee meent te moeten bemoeien.

[david-v]

Native door het OS? Je bedoelt dat Google en Apple bepalen hoe ze het doen? Nee dank je.

[Rol3517]

Ik zou het erg jammer vinden als de EU hiermee de duopolie verder versterkt. De EU zou concurrentie en diversiteit in dit ecosysteem moeten stimuleren en omarmen, niet de gevestigde orde meer macht geven.

[bapemania]

Als het niet gaat werken op Fairphones met e//OS kan ik het niet gebruiken en dat is dan maar zo.

[The Zep Man]

Of Google Pixels met GrapheneOS. Dat gaat ook niet werken als bijvoorbeeld Play Integrity vereist is.

[Averitiamiku]

de eu aan de ene kant is anti gatekeeper en aan de andere kant zorgt ervoor dat mensen of IOS of android MOETEN gebruiken omdat zij vinden dat een linux distro of custom android niet mag omdat die veiliger zijn voor de gebruiker en niet een backdoor heeft voor de overheid

[Joab9000]

"de EU" as such bestaat niet, er is wel een Europese Commissie, een Europese Raad, en een Europees Parlement, en die worden rechtstreeks of onrechtstreeks door de bevolking verkozen voor een termijn van 5 jaar. "De EU" die met de GDPR en DMA op de proppen kwam is een andere EU dan die dat de Age Verification en de Chat Control uit hun hoed tovert.

[marcelvb]

Je mag wel verwachten dat de EU-commissarissen met elkaar praten en geen tegenstrijdige wetgeving pushen. We hebben maar één EU-commissie en één EU-parlement.

[CAPSLOCK2000]

Je mag wel verwachten dat de EU-commissarissen met elkaar praten en geen tegenstrijdige wetgeving pushen. We hebben maar één EU-commissie en één EU-parlement.

Het vervelende is dat die wetten in theorie niet conflicteren, alleen in praktijk wel.
In de wet staat dan bv dat software moet voldoen aan ISO123456. In praktijk zijn er twee bedrijven die een applicatie heben die voldoet aan ISO123456, namelijk Google en MS, want de eisen zijn zo streng dat niemand er aan kan voldoen als je geen miljard over hebt om een leger juristen te onderhouden om al het papierwerk in te vullen.

[BvdW1978]

De EU bestaat wel degelijk en is gedefinieerd in het Verdrag betreffende de Europese Unie (VEU) en geoperationaliseerd in het Verdrag betreffende de werking van de Europese Unie.

[Joab9000]

Klopt, maar het ging om de interpretatie en context, daarom mijn dubbele quotes. Er zijn elke 5 jaar verkiezingen, dus de inhoud en prioriteiten veranderen elke 5 jaar. Je kan dus niet zeggen dat de EU voor of tegen iets is, het is de Commissie die voor of tegen iets, al dan niet met de steun van het Parlement. En deze Commissie is elke 5 jaar een andere. Soms hebben we een Commissie die privacy wel belangrijk vindt, en de huidige Commissie helaas niet.

[Juice2000]

Er is geen enkele reden om dit te koppelen aan welke security feature dan ook. Ik kan nu ook overal inloggen met mijn Linux PC, en ik kan er mee bankieren en alles. Zelfde met mijn LineageOS installatie op mijn Samsung S10. Ik zie niet in waarom er extra security nodig is in het geval van iemands leeftijd controleren.
Ik hoop toch niet dat er straks in dit hele plan geen ruimte is voor open source alternatieven.

[AnonymousGerbil]

Het fundamentele verschil is dat bij een leeftijdsverificatie men de gebruiker ziet als een potentiële tegenstander van de beveiliging, terwijl bij normaal inloggen je er redelijkerwijs vanuit kan gaan dat de gebruiker de beveiliging niet wil breken.

[indigo79]

Ik mag hopen dat mijn bankapp er niet "redelijkerwijs" van uit gaat dat de persoon die in mijn naam probeert in te loggen de beveiliging niet wil breken.
Ik snap niet dat dit +2 krijgt, want het raakt kant noch wal.

[AnonymousGerbil]

Een andere persoon die op jouw account probeert in te loggen is niet de gebruiker maar een aanvaller, en we kunnen er redelijkerwijs van uitgaan dat jij niet als doel zal hebben om zo een figuur toegang te geven tot jouw account.

Het gaat om het verschil tussen het voor jou beschermen en het tegen jou beschermen, ondanks dat je in beide gevallen de rechtmatige gebruiker bent.

[Reactie gewijzigd door AnonymousGerbil op 3 augustus 2026 18:30]

[indigo79]

In beide gevallen gaat het om een poging een valse identiteit te claimen. Of het nu de volledige identiteit of slechts een deeltje is, maakt niet uit. Dezelfde mechanismen kunnen op dezelfde manier gebruikt worden. Dit is gewoon een opgelost probleem. Het enige probleem met de huidige oplossing is dat er een paar partijen geld willen verdienen en/of controle willen hebben, maar dat is technisch nergens voor nodig.

[xorpd]

Lijkt me duidelijk, met een Linux app of custom rom is het eenvoudig om leeftijdscontrole te spoofen. Vandaar de hardware authorisatie. En dat heeft alleen effect als de hele chain gecontroleerd wordt: van bootrom tot OS tot library tot user app.

[Cid Highwind]

Klinkt erg omslachtig voor een 14-jarige om een paar vieze plaatjes te kunnen kijken die elders natuurlijk nergens te vinden zijn, of om alsnog aan sociale media deel te kunnen nemen.

Succes ook om je ouders overstag te laten gaan en de huiselijke hardware van nieuwe OS’en te laten voorzien.

Of anders gezegd, is dit niet een beetje het zoeken van een probleem bij een eventueel bij elkaar gelobbyde oplossing?

[xorpd]

Leeftijdscontrole is slechts een aspect van het uiteindelijke doel, identiteitscontrole. En vanuit de overheid bezien is het omzeilen daarvan, op welke manier dan ook, een probleem en een gevaar waar indien technisch mogelijk iets aan gedaan moet worden.

[marcelvb]

Ik snap nog steeds niet wat mijn OS of hardware ermee van doen heeft. Ik zou verwachten dat de site een vraag stelt met een of andere uniek random nummer erbij. Dat je browser/app de vraag doorstuurt naar een officiële instantie (overheid) doe jouw leeftijd weet. Deze dan de vraag met antwoord (>18, =<18) en uniek nummer signed. Dat het dan teruggestuurd wordt, en dat de vragende partij de publieke sleutel van de officiële instantie heeft en het antwoord kan verifiëren. Of je telefoon veilig is lijkt me in dit scenario niet relevant.

[xorpd]

Allemaal relatief makkelijk te omzeilen, tenzij je ID en je persoonlijke gegevens in een hardware security module zitten en je device compleet gelocked is, van bootrom tot user app.

[marcelvb]

Hoe kan ik omzeilen dat ik een bericht heb wat gesigned is door de Nederlandse overheid?

[xorpd]

Andermans ID gebruiken.

[quazar]

Here we go! Wat is dit toch een extreem zwaar middel om ervoor te zorgen dat jongeren niet op social media komen. Function creep ligt daarnaast natuurlijk extreem op de loer. Beperken van OS en device vrijheid is alvast mooie bijvangst.

[Kaasrol]

Het begint steeds meer een trojaans paard te lijken om vrije software/hardware de das om te doen.

[PurifieR1980]

Het begint steeds meer een trojaans paard te lijken om vrije software/hardware vrijheid de das om te doen.

[BvdW1978]

Integriteit en authenticiteit van mijn hardware is nogal een dingetje. Ik maak toch zeker zelf wel uit of mijn hardware authentiek is? Hoezo heeft een of andere softwareleverancier uit een ver buitenland waar ik helemaal niets mee te maken wens te hebben daar een stem in?

[CAPSLOCK2000]

Integriteit en authenticiteit van mijn hardware is nogal een dingetje. Ik maak toch zeker zelf wel uit of mijn hardware authentiek is? Hoezo heeft een of andere softwareleverancier uit een ver buitenland waar ik helemaal niets mee te maken wens te hebben daar een stem in?

Dat is het verkeerde perspectief.
Het gaat Google er niet om of ik mijn hardware vertrouw, maar dat Google en haar klanten er op kunnen vertrouwen dat ik niks heb veranderd. Dat maakt het makkelijker om adblockers en andere ongewenste software te blokkeren.

[BvdW1978]

Mijn hardware. Niet die van Google. Het gaat Google niks aan wat ik met mijn hardware doe als die niet eens door Google gemaakt of geleverd wordt.

[gamefreakin]

Je bent inderdaad vrij om te doen met je hardware wat je wilt en welke software je er op zet. Maar dat werkt twee kanten op.

Het is ook vrij aan Google (of andere organisatie/bedrijven), om bepaalde features van hun software niet te leveren op die hardware. De meeste bankapplicaties doen ook een root/hardware check zodat ze niet draaien op geroote of gemodificeerde telefoons.

Hetzelfde zie je bijv. terug in de game wereld: Het modden van consoles is in principe legaal, maar de gamebedrijven staan bij een gemodificeerd apparaat ook in hun recht om je van hun (online) diensten te weren, omdat ze dan niet meer kunnen voorspellen wat de hardware doet. Ze mogen je apparaat alleen niet "remote bricken" o.i.d.

Het interessante is wel dat de reden voor de check dit keer andersom is dan bij bijv. bank apps.
Bank apps doen de check om de gebruiker data te beschermen. In geval van de leeftijdscheck wordt de check gedaan om het systeem te beschermen tegen gebruikers die de boel willen omzeilen.

[Reactie gewijzigd door gamefreakin op 3 augustus 2026 16:27]

[BvdW1978]

Precies die omkering, daar heb ik fors moeite mee. De hypocrisie van banken is ook stevig hierin. Mijn OpenBSD-desktop met Firefox mag gewoon bankieren, helemaal niemand die zich daar met mijn "attestation" bemoeit. Maar vanaf mijn telefoon ben ik ineens een prutser die tegen zichzelf beschermd moet en zal worden. Beetje raar.

[CAPSLOCK2000]

Op papier is het jouw hardware omdat je voor hebt betaald, maar bij een stock Android/Apple apparaat voel ik me niet de eigenaar maar slechts de gebruiker.

[BvdW1978]

Ik snap dat dat zo voelt, maar ik vind nogal wat van de juridische stap die hier heel gemakkelijk lijkt te worden gemaakt.

[CAPSLOCK2000]

Ik schrijf het wat gechargeerd op maar ik ben het helemaal met je eens.

[davekok]

Persoonlijk, zie ik dit soort dingen toch liever onderdeel worden van een of andere hardware specificatie. Bijvoorbeeld de TPM-chip.

[jpsch]

Alsjeblieft niet, kun je straks geen Linux of BSD meer draaien op oude computers.

[nugscree]

Als het volgens dezelfde spec zou werken dan wordt dat alleen ondersteund als je hardware er daadwerkelijk over beschikt? Dat is wat ik in ieder geval haal uit de quote die Stetsed deelde.