Beveiligingsexperts uiten twijfels over DigiD

Het Genootschap van Informatiebeveiligers (GvIB) zegt in Het Parool weinig vertrouwen te hebben in DigiD. Het GvIB heeft kritiek op het feit dat een gebruikersnaam en wachtwoord voldoende zijn om met DigiD de belastingaangifte te ondertekenen. Het genootschap wijst op het bestaan van zogenaamde keyloggers waarmee gebruikersnaam en wachtwoord makkelijk te achterhalen zijn. De Belastingdienst verwijt het GvIB naïviteit als het denkt dat de aangifte alleen op echtheid gecontroleerd wordt via DigiD. Ook het ingevoerde rekeningnummer wordt nagegaan en er wordt gecontroleerd op dubbele aangiftes. Er zijn nog geen gevallen bekend waarin DigiD misbruikt zou zijn voor criminele doeleinden laat de Belastingdienst desgewenst aan Het Parool weten. Ontwikkelaars bij DigiD hebben inmiddels een methode bedacht waarbij de digitale handtekening aan een code wordt gekoppeld die per sms wordt verzonden. Volgens de belastingdienst zou dat een goede optie kunnen zijn voor de toekomst. Criticasters zien daarin een bevestiging dat de huidige methode niet optimaal zou zijn.

Reacties (56)

Tijdens de Technet briefing Identity Management met Rafal Lukawiecki vorige week kwam dat ook al ter sprake.
Er waren daar wat afgevaardigden van onder andere het ministerie van Justitie. Die verdedigde zich ook met de opmerking dat "dit pas de eerste stap was" en dat men binnenkort met een uitgebreidere authenticatiemethode zou beginnen.
De reacties van de spreker en van de overige aanwezigen waren nou niet bepaald overweldigend te noemen....

Het is nou niet iets waar ze net mee op de proppen komen. In de folder die ik kreeg, als ik mij goed herinner, werd er al gesproken over verschillende beveiligingsniveaus, waarvan de username+password gewoon de laagste was. Aangezien belastingaangifte enkel een informatie verstrekking is aan de overheid, voor een deel ook ter bevestiging van informatie die ze al hebben, vind ik het niet zo bezwaarlijk dat het enkel met een passwoord is beveiligd. Het wordt anders wanneer ik mijn persoonlijke gegevens kan wijzigen, kan gaan stemmen etc., maar zo slim zijn ze volgens mij ook nog wel.

Laat ik het anders stellen:
Die beveiligingsniveaus is allemaal leuk en aardig, maar dat moeten ze gelijk invoeren en niet in stapjes.
Nu wekt men een verkeerde indruk ('t is nog niet af) en dat voor een overheid waarvan functionarissen af en toe nog wel eens wat digitaals kwijtraken...

Het is een vertrouwenskwestie, en het vertrouwen van de eindgebruiker in een dergelijk systeem is van groot belang voor het slagen van een project van deze grootte.

Het gaat er niet om dat het nog niet af is, het gaat er om dat ze voor de huidige functies nog geen sterkere authenticatie nodig achten.

Ikzelf ben zijdelings betrokken geweest bij de implementatie van een digitaal locet van een gemeente. Het hele rechten systeem is een stapel credentials.

Als ik alleen mijn naam en geboortedatum opgeef mag ik een paar dingen. Geef ik ook mijn adres of mijn sofinummer op dan mag ik al meer dingen.

ZO werkt het ook met digid. (sterker nog, het systeem was ermee gekoppeld). Voor simpele dingen is gebruikersnaam en wachtwoord genoeg. Het zou best kunnen dat er biometrische gegevens gekoppeld worden. Dan zou je naast je gebruikersnaam en wachtwoord ook een vingerafdruk moeten afgeven als je bij het gemeentehuis je rijbewijs komt halen.

Het bestaat al en het is er al. Het is echter nog helemaal niet rendabel om nu vingerafdruk lezers of tokens uit te delen aan de bevolking. De daadwerkelijk aan digid gekoppelde diensten verlangen die hogere authenticatie niveaus nog niet.

Op zich is er niks mis mee dat ze die beveiligingsniveau's in stapjes invoeren: de toepassingen waarvoor een hoger niveau vereist is, zijn nog niet beschikbaar. En dat het dus nu nog niet waterdicht is... dat is idd een kwestie van vertrouwen.

Overigens: Het opzetten van een systeem dat waterdicht is kan technisch gezien al wel, maar de baten daarvan wegen nog niet op tegen de kosten.

DIGiD een GOED id.
beveiligd genoeg en waarom??
omdat niemand met jou gegevens de belastingdienst er rijker op wil laten worden
dus hooguit een tehoge terug gave bezorgd.
valt dat niet op heb je mazzel zegt de Belasting dat het niet goed is dan sta je sterk (het mag ook nog met het papiertje, digid is namelijk nog niet waterdicht.)

bank zaken is weer wat anders, maar als iemand jou aangiften misbruikt word hooguit de eigenaar van sofinummer XXXXXXXXXXXX er beter van en niet de misbruiker

Todat een grapjas jou digitaal wil jennen en telkens (automatisch) een foute versie van je aangifte gaat versturen.
Kan jij iedere keer gaan uitleggen dat het en ander was...

ik vul tijdens mijn belasting aangifte ook mijn bankgegevens in, waarop ik het bedrag bij eventuele teruggaaf wil hebben.....

Ik zou graag zien dat de overheid hier een tokensysteem voor gaat gebruiken. Een nieuw paspoort in de vorm van een creditcard en een smartcard reader code generator die je dan kan gebruiken. (Zoals de Rabobank dat reeds doet.)

Je kan dit systeem dan gebruiken -niet alleen bij de overheid-, maar ook bij andere sites waar je moet authenticeren. Een soort persoonlijk paspoort met SSL certificaat voor iedere burger.

Maar de visie bij de overheid ontbreekt om zoiets (inter)nationaal in te voeren.

Visie? Weet je wel wat zoiets kost? Weeg vervolgens die kosten eens af tegen de baten. Kijk dan meteen ook even naar de resultaten van het Belgische initiatief nu een paar jaar na invoering: geen onverdeeld succes.

Een goed identity management systeem ondersteunt verschillende authenticatiemethoden. Per doeleinde zijn bepaalde methoden wel of niet geschikt. Een belastingaangifte versturen met username/password is zo gek nog niet, gezien het feitelijk alleen het versturen van informatie is en de bedragen meevallen. Belangrijk daarbij is wel wie het risico draagt: dat hoort in dit geval niet bij de eindgebruiker te liggen.

Belangrijkere ontwerpfout is dat tegelijkertijd met de belastingaangifte ook de identiteitsgegevens gewijzigd kunnen worden zoals rekeningnummer, omdat dit de echte fraude mogelijk maakt. Dit gebeurt bij voorkeur separaat, wordt gelogd, en vereist nauwgezette authenticatie en procedures. Dit kan best username/password zijn, maar zou bv een bevestiging naar de gebruiker kunnen inhouden.

Security heeft feitelijk weinig met techniek te maken, maar meer met het verschuiven van verantwoordelijkheid (Om die te snappen stel ik voor dat iedereen z'n overeenkomst mbt electronisch banken met z'n bank nog eens naleest.)

Visie? Weet je wel wat zoiets kost? Weeg vervolgens die kosten eens af tegen de baten.

Die kosten vallen wel mee...
Ik zie er van komen dat ik voor elk bedrijf / instantie waar ik "zaken" mee doe, weer een tokensysteem moet gaan gebruiken, dan wel een usernaam / wachtwoord moet gaan onthouden.

Ik heb nu reeds al een tokensysteem voor de bank + diverse username's wachtwoorden van websites. Naarmate deze samenleving meer dingen online gaat regelen, komt er een wildgroei aan authenticatiemethoden. Hier zou een universele methode voor uitgedacht moeten worden. Een nieuw soort paspoort dat zowel online als offline werkt.

Hoewel je met DigiD alleen informatie kan inzien en niet kan wijzigen, zou ik ook graag hier een sterke authenticatie methode voor kiezen. (Meer dan een username / wachtwoord) Als in informatie van een persoon kan inzien, kan ik me voordoen als die persoon. Identity theft heet zoiets.

Digid heeft meerdere autenticatie niveaus. Het zou heel goed kunnen dat je je passpoort + smartcard reader kunt gebruiken om een hoger authenticatie niveau te krijgen. Het systeem is daarvoor wel ingericht. Zo visieloos was die overheid dus niet

Ik heb zowiezo mijn twijfels bij één login combinaties die voor een groot aantal nogal officiele authenticaties gebruikt kan worden. Inderdaad, zo'n keylogger of iets dergelijks hoeft maar éénmaal de login combinatie te achterhalen, en een kwaadwillende heeft direct toegang tot een schat aan mogelijkheden. De belastingdienst moet z'n motto wat betreft het 'makkelijker maken' op het gebied van authenticatie niet al te ver doordraaien.. en dat doen ze nu wel een beetje...

Ik heb zowiezo mijn twijfels bij één login combinaties die voor een groot aantal nogal officiele authenticaties gebruikt kan worden.

Alhoewel ik het hier vanuit theoretisch oogpunt met je eens ben zijn de praktische implicaties beperkt. Het gros van de PC gebruikers pakt namelijk toch voor elke login dezelfde gebruikersnaam en wachtwoord. Wijzigen van wachtwoord gebeurt ook alleen als het verplicht is, gewoon omdat dat het makkelijkst is. Het aanbieden van een gecentraliseerde login biedt dan het voordeel dat de authenticatie minder vaak hoeft plaats te vinden en dat dus het wachtwoord minder vaak te achterhalen is.

DigiD is overigens geen id van de belastingdienst. Het wordt al langer gebruikt door het CWI en moet uiteindelijk uitgroeien tot het centrale identicatiemiddel voor alle digitale overheidsdiensten. Al in vroege nota's over "de digitale kluis" worden al uitgebreidere beveiligingsmechanismen besproken, bijvoorbeeld met behulp van pasjes en kaartlezers. Zodra je er meer mee kunt dan eenvoudiger gegevens opsturen wordt de strictere beveiliging echt wel ingezet.
Voor nu is het belangrijkste dat (alle) burgers wennen aan digitaal contact met de overheid. Door de informatie-uitwisseling tussen overheid en burger digitaal te laten plaatsvinden valt namelijk een hoop te besparen.
Voor de huidige toepassing van informatieverstrekking door de burger is de beveiliging ruimschoots afdoende. Het alternatief zijn immers analoge formulieren die je ook niet pgp-encrypted door een peleton marechausse naar de belastingdienst laat brengen...

Informatiebeveiligers willen graag maximale beveiliging, ook als dat leidt tot ontoegankelijkheid van een systeem en ongeacht de uitkomst van een risico analyse. Gevolg is (als we de aanbevelingen opvolgen) dat Jan Modaal straks zijn belastingaangifte niet meer per computer kan versturen omdat J. Modaal de ingewikkelde authenticatie methode niet snapt. Dan stuurt J. Modaal de aangifte per post met nog grotere risico's op onderschepping en malversaties (althans voorzover die bestaan, belastingdienst is ook niet helemaal gek zoals blijkt uit de controle op de teruggave rekening).

Nog wat opmerkingen richting GvIB
1. Het gaat hier om een data upload, niet om een systeembeheerders account. Dus minder kritisch zou ik denken.
2. De belastingdienst controleert zo te lezen de rekening met de naam van de begunstigde, dus zo te lezen is het enige fraude risico (stelen van de belasting teruggaaf) al gemitigeerd.
3. Er is geen vergelijking gemaakt met de risico's van fraude met alternatieve methodes, zoals de belasting aangifte op papier of per diskette. De zwakheden zijn daar evensterk of nog sterker aanwezig.
4. Meest gemaakte fout van IT beveiligers, het computersysteem is dichtgetimmerd maar de rest van de informatiestromen(papier, verbaal, etc.) is vergeten. Het Genootschap van Informatiebeveiligers bestaat in werkelijkheid uit IT beveiligers, met een zeer sterke focus op hostbased security. Deze focus is m.i. te eenzijdig.
5. Er wordt geen analyse gemaakt van reële risico's. Hoe groot is de kans dat het scenario werkelijkheid wordt? Zo ja, wat is dan de maximale schade, wie vergoed die en weegt die op tegen de investering in extra security? Stel risico is 100.000 Euro per jaar, Belastingdienst accepteert het risico en betaalt eventuele schade, en extra informatiebeveiling kost een miljoen per jaar? Gaan we dan een paar IT nerds een plezier doen?

Ben het (bijna) helemaal met je eens. Maar ik vind de discussie hier goed, maar wees ook realistisch, wie beheert er hier bijvoorbeeld een netwerk domain van een bedrijf en logt aan met Username en Password en heeft daarna alle rechten op het domain?

Wie gebruikt PayPal (e-mail en wachtwoord), wie gebruikt Webmail via http of https? Wat voor leuke goodies kun je daar wel niet in vinden (juist usernames en passwords)?

Wireless, wie gebruikt er WEP of WPA en wie EAP/TLS?

Je kunt altijd wel het beste willen maar ik denk dat ik met mijn voorbeelden best aangeef dat lang niet iedereen dat ook doet. Ook jij niet die op de IT afdeling werkt (tenminste vast niet iedereen).

Als ik op mijn werk via webmail mijn mail wil lezen moet ik inloggen met SecureID en dan mijn username en password. Attachments worden in een beveiligde gegeving geopend zodat er niets op het gast systeem blijft staan. Netjes toch van onze IT afdeling, moet je alleen wel steeds je SecureID bij je hebben.

Meer veiligheid hoeft niet ten koste te gaan van gebruikersgemak. Maar gebruikersgemak stellen boven veiligheid is weer iets heel anders. ID diefstal is een serieus probleem. Gelukkig hebben we er in Nederland nog niet mee te maken. Voor een belangrijk deel is dat de danken aan het ontbreken van een uniek nummer waarmee je veel zaken kan regelen. Nu de overheid ook op dit gebied de VS blindelings achterna holt, mag je ook op het gebeid van ID diefstal 'Amerikaanse' toestanden gaan verwachten.
Over het misbruik van gekoppelde informatie hebben we het dan nog maar niet.

De Belastingdienst verwijt het GvIB naïviteit als het denkt dat de aangifte alleen op echtheid gecontroleerd wordt via DigiD. Ook het ingevoerde rekeningnummer wordt nagegaan en er wordt gecontroleerd op dubbele aangiftes.

Dat noem ik toch niet echt een beveiliging. Als de achternaam weet en de voorletters dan heb ik dus in feite genoeg.

Dan heb je zelf nooit daar rondgekeken, want je kiest zelf je gebruikersnaam en password. Je kunt als Piet Jansen dus heel goed quertyuiop als userid kiezen.

Jij hebt je duidelijk niet in DigiD verdiept. Op de site kies je een gebruikersnaam met een tijdelijk wachtwoord. Je krijgt naar je huisadres per post een activatiecode opgestuurd. Als je die invoert op digid.nl kies je pas een definitief wachtwoord.

Oftewel, iemand kan pas met jouw DigiD account gaan kloten als ie jouw post gaat onderscheppen. Met alleen het tijdelijke wachtwoord kun je niet inloggen bij overheidsinstanties.

Zelfs dan kan die niet kloten, want in die brief staat namelijk je gebruikersnaam niet

Ik heb het net vorige week aangevraagd maar zolang ik het niet activeer kan ik er, en ook niet iemand anders, er gebruik van maken.

Gezien de wat negatieve publiciteit ben ik ook van plan om het nog even niet te activeren.

Gewoon een systeem als wat de SNS Bank hanteert invoeren, dat werkt echt superrelaxed en is naar mijn mening bijna niet te kraken. Uiteindelijk alles wel maar dr gaat wat meer tijd overheen he

Het Genootschap van Informatiebeveiligers

Wie zijn dit dan? Ik heb nog nooit van ze gehoord, klinkt als een stel cognac drinkende vijftig plussers die tegen een te hoog tarief ongevraagd advies geven.

Verder is de suggestie van een keylogger een beetje old-skool. Gooi een overheid-achtige site de lucht in, spam wat mensen en laat ze hun digi-id invullen, moet je opletten hoe veel id's je krijgt en dat zijn er behoorlijk wat meer dan met een key logger.

Check http://www.gvib.nl/afy_info_ID_1021.htm voor meer info overhet GvIB.

Een username/wachtwoord is wat beperkt, nu moeten ze het gaan zitten controleren, hetgeen weer manuren kost.

stuur op basis van mijn SOFI nummer alleen een code naar mij via de post. Met die code ga ik naar de BD-site, daar kan ik die code+sofi invullen, op basis daarvan genereren ze een PKI certificaat waar je ook een user/passwoord aan hangt, die ze na het aanmaken van het certificaat via de post sturen, lijkt me aardig waterdicht. Zal wel lastiger zijn voor de average gebruiker, maar liever iets lastiger en veilig, dan makkelijk en brak.

Gesproken als een wereldvreemde IT-er. Zo'n oplossing is gewoon niet te doen voor de meerderheid van de bevolking. Ik vind digid afdoende veilig voor een aangifte. Het is namelijk even veilig, zo niet veiliger als het invullen van een papieren aangifte.

Hiermee is de identiteit van de belastingplichtige niet vastgesteld, want de brief met cetificaat kan onderschept worden. Dit gaat in de praktijk nog makkelijker dan een keylogger programmeren.

Een goed voorbeeld van informatiebeveiliging waarbij de focus te sterk ligt op de IT en te weinig op de gehele informatiestroom.

ik zie het probleem ook niet zo.... geef gewoon in NL gratis disks weg van een aangepaste versie van knoppix ofzo zodat er niets op geinstalleerd kan worden... en dan kunnen mensen dat gebruiken zo moeilijk lijkt het me niet om zo'n cd te maken die helemaal geoptimaliseerd is voor dat digid. gewoon een cdtje dat direct na het starten firefox of wat voor browser dan ook start en naar de pagina gaat waar je moet zijn..... of dat gewoon direct de applicatie word gestart die je moet hebben....

uiteraard is dat niet voor iedereen weggelegd en dus kunnen ze ook een andere oplossing laten draaien voor mensen die zoiets niet kunnen...

maar ik denk dat dit wel zou werken voor een groot deel... want als ik zie hoeveel spyware/keyloggers/trojans dr op een groot gedeelte van de thuisgebruikers hun computers staat.... heeft dat digid alles in zich om dingen heeeel erg fout te laten lopen....

Dan stuur ik een gehackte versie naar de mensen uit mijn buurt zodat die alle gegevens netjes aan mij afstaan.

Maar dan nog; CD boot niet, euhhh meneertje van 70, verander uw BIOS instellingen even...

Sorry gedoemt te mislukken.

daarom geef ik al aan dat het niet voor iedereen is weggelegd...

Dan is het dus geen goede oplossing.

Ik had er ook al problemen mee, ik had in mijn wachtwoord non-ascii chars zitten "&" en kon prima inloggen op de website.. maar toen ik aangifte wilde doen.. "uw wachtwoord is verkeerd" dus ik denken "naja zal wel aan mij liggen" dus nog een keer.. en nog een keer.. account geblockt..

ik zo .. shit.. was weer een tijdje verder dat ik er achterkwam dat het een bug was ipv dat het aan mij lag.
Ik vond het erg slecht van een programma van de belasting dienst, dat gaf me wel een stuk minder vertrouwen in de software!

maargoed de "electronische handtekening" was ook maar 5 nummers.. dus kan me indenken dat daar veel geboorte datums bij zaten. Dus tja wat is veilig.

Hier in België is het net dat tikkeltje moeilijker. Er zijn 2 manieren om in te loggen op Tax-on-web.

De eerste (en eenvoudigste) is met de elektronische identiteitskaart en is een zeer veilige methode.

De tweede bestaat uit een login, wachtwoord en een token. Je moet dus eerst een token aanvragen (een kaartje met zo'n 30tal verschillende lettercombinaties) en bij het inloggen word dan om 1 specifieke combinatie gevraagd.