Tweede Kamer wil gemeenten met onveilige DigiD-implementatie afsluiten

De Tweede Kamer wil gemeenten die de beveiliging van DigiD niet op orde hebben uiteindelijk afsluiten van het digitale identificatiesysteem. Een Kamermeerderheid vindt dat minister Plasterk van Binnenlandse Zaken harder moet optreden tegen falende gemeenten.

Het voorstel komt van D66 en kan op de steun rekenen van een meerderheid van de Kamerleden. "Wij willen dat DigiD veel veiliger wordt. We willen dat gemeenten hun zaken op orde hebben. Als dat niet zo is, krijgen ze een waarschuwing en daarna worden ze afgesloten van DigiD, totdat ze de boel op orde hebben", zegt D66-Kamerlid Kees Verhoeven tegen RTL.

De uitspraak van het Kamerlid volgt op nieuws dat 24 gemeenten, waaronder Rotterdam, Amersfoort en Apeldoorn, het standaardwachtwoord van het cms dat ze gebruikten niet wijzigden. Twaalf van die gemeenten hadden bovendien een onveilige koppeling met DigiD. Inmiddels zijn die problemen opgelost. Verhoeven benadrukt nog eens de ernst van die situatie: "Dan kunnen de gegevens van honderdduizenden burgers zomaar op straat komen te liggen." Verhoeven wijst op de risico's daarvan. Zo kunnen kwaadwillenden met DigiD-gegevens bijvoorbeeld valse toeslagen aanvragen.

Als de meerderheid van de Tweede Kamer een plan steunt, vat een minister dat veelal op als aanwijzing om het idee ook uit te voeren. Mocht dat niet gebeuren, dan kan de Kamer zelf het initiatief nemen om het plan in de wet te laten vastleggen en zo het kabinet het te laten uitvoeren.

Reacties (77)

[Snoz Lombardo]

Goed dat ze dat zo aanpakken vind ik. Slecht natuurlijk dat het überhaupt nodig is.
Hier overigens een lijst met alle betreffende gemeenten.

[Anoniem: 475099]

Wij willen dat DigiD veel veiliger wordt. We willen dat gemeenten hun zaken op orde hebben.

DigiD wordt daardoor echt niet veiliger.

Als je kijkt in de vliegtuigindustrie hoeveel moeite er wordt gedaan om het vliegen zo veilig mogelijk te maken:

• van elk schroefje wordt in het logboek bijgehouden welke kleur het heeft, in welke fabriek het is gemaakt, op welk tijdstip het uit die fabriek is gekomen, hoeveel werkuren die schroef erop heeft zitten, en de kleur van zijn schaduw;
• bij elke vlucht worden strenge controles uitgevoerd, zowel FYSIEK (dus niet met geavanceerde technologie op afstand) als controles op basis van logboekregistraties etc;
• er wordt bijgehouden hoeveel vlieguren het vliegtuig erop heeft zitten op basis waarvan er periodieke grote controles plaatsvinden;
• er zijn ook uitgebreide controles waarbij het vliegtuig helemaal tot op het 'bot' wordt uitgekleed.

Zoveel controles zijn er nodig om het vliegen bijna 100% veilig te maken, en dan nóg gebeuren er ongelukken. Dan moet je nagaan dat bij DigiD er niet zoveel moeite in wordt gestoken om de boel ook veilig te houden. Hoe kan DigID dan net zo veilig worden als vliegen?

Bedenk dat het menselijke aspect de onvoorspelbaarheid vergroot, en dat maakt een systeem moeilijker om te beveiligen. Bij een vliegtuig bestaat dat menselijke aspect uit 2 piloten (tijdens de vlucht) en een handjevol inspecteurs, grondpersoneel etc. Bij DigiD bestaat dat menselijke aspect uit 16 miljoen mensen waaronder een aantal hackers. Not to mention de buitenlandse hackers. Wil je DigiD dus veilig houden, dan moet er veel geld, tijd en moeite in worden geinvesteerd om het continu zo veilig te houden.
Dit zijn een aantal knelpunten:

• de voortschrijdende technologie zorgt ervoor dat je altijd achter de feiten aanloopt, dus je moet continu blijven verbeteren. Dat kost geld.
• de constante dreiging van hackers moet worden tegengegaan door een constante menselijke bewaking (naast de automatische bewaking zoals virusscanners, firewalls etc). Dat kost constant weer geld.
• belangrijkste: je moet ervoor zorgen dat er geen foute data in het systeem komt!!

Over het laatste punt (zorgen dat er geen foute data in het systeem komt) het volgende. Stel dat een hacker een blauwe Volkswagen Polo heeft. Hij gaat langs de weg staan zoeken naar een andere blauwe Volkswagen Polo. Plotseling ziet hij jouw auto voorbijrijden, een blauwe Volkswagen Polo, en hij schrijft jouw nummerplaat op. Vervolgens gaat hij deze nummerplaat namaken en op zijn eigen blauwe Volkswagen Polo plakken. Hij rijdt keihard op de weg en wordt geflitst. Jij krijgt de bekeuring. Waar het in dit voorbeeld om gaat is dat er foute gegevens in de database van de overheid terecht zijn gekomen. Jouw DigiD is hieraan gekoppeld. De overheid zegt dat je de bekeuring moet betalen want alles wat de computer zegt klopt als een bus. Ook verkeerde gegevens van deze gozer zijn in de database van de overheid terecht gekomen. Lees zijn verhaal (video) en trek je conclusies.

Die laatste 3 puntjes die ik hierboven heb genoemd worden altijd onderbelicht vanuit de politiek. In de politiek kijkt men alleen naar de voordelen van technologie en niet naar minder leuke dingen zoals de algemene vuistregel: hoe meer technologie, hoe meer ellende. Begrijp me niet verkeerd: ik ben techneut/electronicus/programmeur, ik vind technologie hartstikke leuk, maar ik zie dat als technologie door leken wordt gebruikt en beheerd er problemen kunnen ontstaan die niet techniek-gerelateerd zijn. Het menselijke aspect, daar wordt in de politiek geen aandacht aan geschonken. Overigens, in de vliegindustrie praten piloten openlijk over fouten, over bijna-ongelukken etc met de bedoeling om dezelfde fout in de toekomst te voorkomen. In onze politiek proberen we de fouten te verdoezelen want niemand wil zijn baan (en gezichtsverlies) verliezen. Ook dat is een menselijk aspect waardoor het zeer moeilijk wordt om DigiD goed te beveiligen en te onderhouden.

Maar goed, zelfs als ik een politicus kan overtuigen van al het bovenstaande, dan nog wil de hele politiek in zijn comfort zone blijven zitten dus we blijven ondanks nieuwe technologie zitten met nieuwe problemen. De problemen met DigiD zijn hoofdzakelijk menselijke problemen, want computers maken immers geen fouten, zelfs niet als de computer zegt dat 1 + 1 = 5.

[Umbrah]

Zolang DigiD met wachtwoorden blijft werken én maar iets van 2-3x per jaar nodig is, is het dus inherent onveilig. Tevens dient een username erg generiek te zijn.

Het resultaat, na m'n 3e username/wachtwoord combo te hebben vergeten, heb ik nu een nieuwe DigiD aangevraagd... en die data opgeschreven. En dan ben ik, als IT-er, iemand die dit niet snel doet...

[anandus]

DigiD heeft toch 2-step authentication? Wachtwoord en een smsje?

[Benji87]

Je kan tijdens het inloggen kiezen of je dat SMSje er ook bij wil, wat dus helemaal geen zin heeft, want als je het wachtwoord weet zeg je dan gewoon dat je alleen je wachtwoord in wilt voeren.
Ik meen dat het wel voor sommige handelingen verplicht is om idd ook het SMS verificatie systeem te gebruiken, maar er is genoeg te doen met alleen het wachtwoord.

[Janoz]

Dat is afhankelijk van het authenticatie niveau dat de aanbieder vraagt. Sommige diensten kun je kiezen, anderen is een SMS verplicht. Daarnaast kun je bij DigiD instellen dat je in alle gevallen een SMS vereist.

[incaz]

Dat kan feitelijk niet, omdat er nog mensen zijn zonder mobiel nummer. Omdat het hier over een brede overheidsdienst gaat, kun je niet zomaar verplichten dat iemand ook nog ruim 10 euro per jaar uitgeeft aan een mobiel nummer. Geldt ook voor situaties waar je niet kunt beschikken over mobiele dekking maar wel over internet.

Alternatieven zijn natuurlijk best te bedenken, de banken kunnen allemaal 2-step verification aan.

[Janoz]

DigiD is ook nog niet af. Het systeem is wel ontworpen om meer vormen van authenticatie toe te kunnen passen. Op dit moment zijn wachtwoord en SMS authenticatie de enige die geimplementeerd zijn. Ja, het is vervelend voor de mensen zonder mobiele telefoon. Maar om nu alle andere mensen te benadelen omdat er een paar zonder mobiele telefoon zijn lijkt me ook absoluut niet de bedoeling.

Als je bijvoorbeeld naar eHerkenning kijkt (de 'DigiD variant voor ondernemingen) dan zie je dat ze daarin al wat verder zijn. Daar kun je, naast met wachtwoord en SMS ook inloggen met een token of certificaat. Implementatie daar is makkelijker omdat er minder afnemers zijn, en de afnemers die er zijn zijn vaker bereid om daadwerkelijk die middelen aan te schaffen ipv dat de overheid 16 miljoen tokens moet gaan uitgeven.

[incaz]

Men wordt voornamelijk gedupeerd door de beroerde (onvolledige) implementatie. Niet door mensen die geen mobiel telefoonnummer kunnen of willen betalen.

En het is een overheidsdienst die toegankelijk dient te zijn. Zomaar zeggen dat je dus een deel afschuift is niet zomaar mogelijk. (Dat het bij studenten gebeurt is ook op het randje, maar helaas gaan studenten nooit naar de rechter.)

Bij de overige overheidsdiensten is echter de demografie behoorlijk anders - ouderen, mensen met weinig geld etc. Die buitensluiten is niet zomaar mogelijk.

[ThomasG]

Er zijn al een lange tijd diensten via DigiD welke je zonder mobiele telefoon niet kunt gebruiken, zoals bijvoorbeeld studielink voor studenten. Er zijn inderdaad ook veel diensten via DigiD die dat niet vereisen. Maar je kunt in jouw DigiD-account instellen dat je wenst DigiD voor jouw gebruikersnaam altijd een SMS vereist, zelfs als die dienst dat niet verplicht stelt. Wat de veiligheid voor dat account enigszins vergroot.

[Reactie gewijzigd door ThomasG op 25 juli 2024 22:13]

[IMTS]

Als ik iets voor mijn studiefinanciering wil wijzigen, moet ik bij de DUO verplicht inloggen met 'extra sms-controle'.
Maar de instellingen van je DigiD wijzig je via Mijn DigiD zonder dat extra sms'je. Gewoon verplicht stellen, zou ik zeggen. Zo vaak per jaar gebruik je DigiD niet, dus inloggen mag best een paar seconden langer duren.

[JanvdVeer]

En je maakt als IT-er geen gebruik van unieke wachtwoord generatie oplossingen zoals 1Password e.a.? Mijn wachtwoord is 20 tekens lang en verander hem standaard elk jaar, zonder het archief in te duiken wat mijn gebruikersnaam / wachtwoord ook alweer is.
Je kan het jezelf zo veilig en comfortabel maken als je zelf wenst.

Overigens, welke vorm van authenticatie stel jij dan voor?

[Reactie gewijzigd door JanvdVeer op 25 juli 2024 22:13]

[Umbrah]

Nee, die tools zijn of niet te vertrouwen, of ze zijn single-device gebonden (2 tablets, 2 laptops, desktop, mobieltjes van twee platformen gebruik ik), of ze zijn een "single point of failure". Ik gebruik voor m'n privé wachtwoorden doorgaans een afgeleidde van fibonacci wat ik zelf kan onthouden, maar ik zou het liefst iets van een token of NFC tag willen gebruiken in combinatie met een andere (biometrische? Wachtwoord? SMS?) vorm van authenticatie. Maar ja, typisch een gevalletje: XKCD-927. De link post ik niet eens meer, te vaak gepost bij dit soort artikelen.

Die wachtwoord generatie oplossingen nemen je te veel werk uit handen, zijn mogelijk voorspelbaar (zelfs de open source varianten), en dus een single-point-of-failure wat zeker als je zowel Android, iOS, Windows Phone, Windows RT, Windows 7 (werk), Windows 8.1 (privé x2) gebruikt in combinatie niet kan verenigen.

[NovapaX]

Dan zou ik je toch wat meer verdiepen in de (synchronisatie) oplossingen die dat soort programma's ook bieden.
Want wat je nu gebruik klinkt me nog steeds als een minder veilige oplossing.

Je ziet mij niet 444 items (op dit moment opgeslagen in 1password) onthouden.
Daarbij zitten ook software-licenties, creditcards, fake-idendities en nog andere meuk, maar een knappe jongen die eerst mijn 1password database weet te bemachtigen en dan mijn marterpassword nog weet te raden.

Ondertussen heb ik wel overal unieke, sterke wachtwoorden en lees ik alle data-lekkage berichten altijd met een gerust hart.

edit: en bovendien scheelt het me bergen tijd voor wanneer ik anders weer eens een nieuw wachtwoord op zou moeten vragen omdat ik het vergeten ben.

[Reactie gewijzigd door NovapaX op 25 juli 2024 22:13]

[Kiswum]

Wachtwoorden synchroniseren? Via wat? Het veilige internet?
Het is tegenwoordig nog veiliger om je wachtwoorden op te schrijven dan het via een synchronisatie tool naar al je apparaten te laten sturen.
Leuk al die tooltjes, maar er zijn er weinig die 100% secure zijn en blijven. De kans dat er bij me wordt ingebroken en mijn wachtwoord wordt afgenomen is kleiner dan dat er een lek is bij een online opslag/sync app. Online zet ik alleen gegevens waarbij het "niet erg" is als het uitlekt. Privé foto's laat ik bijvoorbeeld ook privé en op mijn eigen interne opslag.

[MadEgg]

Ik gebruik Keepass. Een wachtwoordkluis van Keepass is versleuteld, en ik synchroniseer met een owncloud server in eigen beheer op een fysieke server in eigen beheer. Bovendien is de harde schijf van die fysieke server en alle machines waar ik het naartoe synchroniseer op hun beurt ook nog weer versleuteld. Alle communicatie verloopt via HTTPS.

Het is absoluut geen single point of failure. Ik heb drie kluizen voor verschillende typen toepassingen met verschillende wachtwoorden. Alle schakels zijn versleuteld dus mocht één van die versleutelingen breken dan zijn er nog een hoop andere overeind.

Even wat moeite om het in te stellen, maar vervolgens:

• heb ik op élk apparaat toegang tot mijn wachtwoorden
• heb ik wachtwoorden van 32 volledig willekeurige karakters (behalve van die paar dubieuze websites die een maximum lengte of een beperking in de karakters voorschrijven)
• hoef ik nóóit meer na te denken welk e-mailadres ik ook alweer gebruikt heb voor welke website (want hij onthoudt gebruikersnamen / e-mailadressen er ook bij)
• hoef ik zelf maar drie goede wachtwoorden te onthouden
• is de kans dat iemand toegang krijgt tot mijn wachtwoordkluis nagenoeg 0

[Qaatloz]

+1 hier.

Een keepass database op mijn synology server via webdav benaderbaar (https only).

Voor die database een makkelijk te onthouden passphrase van 40 tekens en een key-file die alleen lokaal bewaard wordt op de devices waarmee ik de database wil openen. (Desktop; telefoon; tablet).

Het is voor mijn toepassingen de veiligste manier om met vele wachtwoorden en accounts om te gaan zonder een algemeen generiek wachtwoord te gebruiken.

De hoeveelheid gebruikers van de bedrijven waar ik op de helpdesk gewerkt heb die Welkom0* hadden (met * in de range 1-7 afhankelijk van hoevaak ze hun wachtwoord al hadden moeten wijzigen) was schrikbarend hoog.

[NovapaX]

Wifi sync is gewoon een mogelijkheid.

En ik synchroniseer inderdaad via internet. Die worden gewoon versleuteld in de database gesynchroniseerd. Met een lek zouden ze mijn database in handen kunnen krijgen.... en dan... gaan ze een paar datacenters aan het werk zetten om mijn 1password database te kraken? dacht het niet job.

[mohf]

Waarom zou een professionele hacker zijn tijd verdoezelen de wachtwoord van 1 account te kraken, als hij miljoenen accounts weet te bemachtigen door een big-name website te kraken?

[Croga]

Er zijn zowieso al gevallen bekend van dit soort "password tools" die al hun gegevens lekker naar een centrale server stuurden. Daarnaast heb jij nu dus geen 444 veilige accounts, je hebt één account en als je die kwijt raakt kun je nergens meer in.

Het gevaar van dit soort zaken zit niet in iemand die je database weet te bemachtigen. Het zit hem in malafide software (en dat hoeft niet eens bewust te zijn; iemand die de source code van 1password weet te bemachtigen kan plots bij iedereen zijn hack plaatsen) en in het feit dat als jouw database crasht, je helemaal nergens meer toegang toe hebt.

[NovapaX]

Ik gebruik dan ook een gerenommeerde tool van een gerenommeerde ontwikkelaar.
Ze zijn ook open over de encryptie die ze gebruiken.

Mijn database crasht? Daar hebben we backups voor.

Als jij je boekje met unieke wachtwoorden kwijtraakt (wat veel waarschijnlijker is, of laat je het altijd thuis en bel je naar huis om te vragen wat je wachtwoord ook alweer is) heb je een veel groter probleem.
Dan liggen je wachtwoorden mogelijk plaintext op straat.

[Umbrah]

Tsja, en je database, werkt die dan ook op alle platformen? Stel >DAT< je een goede, vertrouwelijke, 100% uptime "single point of failure" kan gebruiken, zou je dan bijvoorbeeld op een vreemde PC in incognito modus, of op een Bada mobieltje wat je aan het testen bent voor iemand, of die grappige Firefox OS op ARM zonder extentie-support, of die klassieke Linux terminal met Linx/Lynx als webbrowser bij je tweakers/gmail/facebook kunnen komen?

Het feit dat ik met zo veel devices rondloop wil al zeggen voor mij dat een managed solutien nogal een "desktop way of thinking" is:

* Lumia 820 zakelijke telefoon (fijn ding)
* Zwaar encrypted Galaxy S3 van een klant (fijn ding maar die encryptie maakt hem nogal zwaar)
* Antieke iPhone 4 want hoewel ik het wil kan je in mijn beroep amper om iOS heen...
* Antieke Acer Iconia tab... vroeger m'n "main-tab" maar nu meer een test...
* Surface RT tab. Erg fijn. M'n main-tab
* HP Z-Book 17 zakelijke laptop... tsja... een fijne kolos.
* Asus N550 privé laptop. Die kolos is zakelijk en ligt niet fijn op schoot.
* Zelfbouw desktop PC
* Een smart TV
* webbrowser van m'n WiiU
* webbrowser van m'n 3DS

Tsja, ik kan eigenlijk weinig oplossingen bedenken die gewoon op ALLES werken... als ik dit al kan laten werken, dan zal ik dus een "insert" page moeten gebruiken en een web-based password manager. En dat is natuurlijk ook weer niet te vertrouwen. M'n eigen kop, een mens-algoritme, en "vaak genoeg gebruiken" en Oauth providers gebruiken voor sites waar het kan (gelukkig op die manier hoef ik m'n Stena Line account niet te onthouden, of m'n Domino's pizza account)...

Een desktop-only password manager is nogal "oude desktop denken"

[Reactie gewijzigd door Umbrah op 25 juli 2024 22:13]

[NovapaX]

Mac, Windows, iOS en Android lijken mij voldoende.
(hoewel ik zelf alleen de Mac en iOS versie gebruik)

Voor die enkele keer dat ik op een ander device zit pak ik gewoon mijn telefoon en typ ik het wachtwoord gewoon lekker zelf in.

[Croga]

Ik gebruik dan ook een gerenommeerde tool van een gerenommeerde ontwikkelaar.

En gerenomeerde ontwikkelaars worden nooit gehacked.
Oh wacht, er druipt wat van m'n sarcasme in een bakje.

Maar gelukkig is 1password een gerenomeerd bedrijf. Uit de VS. Met closed-source software..... hmmm.... wacht even.... ze zijn dus zowieso al verplicht om alle mogelijke informatie aan de VS overheid te geven. Ik heb zo mijn twijfels bij het volledig geheim zijn van jouw password database. Zeker aangezien de volledige database óók bij het bedrijf zelf staat. Je denkt toch niet dat die internet-sync een P2P systeem is hoop ik?

[NovapaX]

Bekijk jij gewoon eens kritisch de voor en nadelen van elke oplossing.
Dan zul je zien dat er overal voor- en nadelen aanzitten.

Maar om nog even op je punten in te gaan:
- Agilebits is Canadees.
- Die synchronisatie kan via je lokale wifi (p2p), dropbox of iCloud. (en ik dacht ook usb) Die database staat dus niet bij de ontwikkelaar o.i.d.

[joriskl]

Of je synced zoals ik via een volledig p2p bittorrent gebaseerde oplossing. Volledig encrypted en verloopt niet via servers van derden.

[borft]

noem jij jezelf een it-er?

allersimpelste oplossing:
- encrypt je wachtwoorden met gpg
- zet de gpg file in je dropbox

klaar, in 30 seconden geregeld, en veilig!

[Anoniem: 626555]

Kom op, passwords onthouden is van de vorige eeuw. KeePass, 1Password, etc. IJzersterke passwords die je nooit kunt vergeten is echt geen probleem meer.

[Umbrah]

Nee, passwords zijn van vorige eeuw. Punt. Net zoals het "desktop denken". Keepass, 1Password, etc... die krijg je niet werkend op "alle apparaten". Je hebt zó veel accounts nodig die op zó veel manieren authenticeren met zó veel devices... het percentage wat "ALLEEN" een website is die "ALLEEN" op de desktop werkt is zó klein tegenwoordig. Daarnaast, zat websites die je ook mobiel of via je SmartTV wilt benaderen. Dat jij het niet doet, wil niet zeggen dat niemand het doet.

OAuth providers met 2-factor/mutli-factor authenticatie die tevens een burger-verificatie hebben (alleen zou jij willen dat Facebook/OpenID ook je BSN en wettelijke verificatie heeft?) zouden een oplossing zijn, en dan, om te zorgen dat men het niet op gaat schrijven, zonder password...

NFC chips (immers, ePassport is een NFC chip) met NFC lezers (bijna elk platform kan dat lezen) zijn veelbelovend. Met een 2e verificatie via SMS als het écht secure moet. Maar dat is niet mijn taak.

Password keepers zijn een tussenoplossing die per definitie een single point of failure introduceerd, én een afhankelijkheid van een app die niet op alle platformen werkt. Wat vanzelfsprekend dan betekend dat je jezelf beperkt.

[borft]

Man, weet je wat een single-point-of-failure is? Een simpele oplossing zoals lastpass, 1password, keepass kunnen allemaal synchroniseren naar meerdere locaties en zijn beschikbaar op een hele lijst aan platforms.

For die paar devices waar geen client voor is, gebruik ik mijn telefoon en type ik het wachtwoord over. Voor alle andere gevallen kan ik het wachtwoord copy pasten. Op deze manier kan je voor elke service een ander, complex wachtwoord gebruiken. Dat lijkt me een heel stuk veiliger dan variaties van een wachtwoord gebruiken, of wachtwoorden opschrijven. Een spof is het in ieder geval zeker niet!

[Anoniem: 626555]

Van onder andere 1password is voor zo ongeveer alle devices en platforms een versie. En hij synct het gewoon netjes online. Uiteraard client side encrypted dus noch de developers van 1password, noch een eventuele provider of overheid die hun servers aftapt, kan bij jouw gegevens.

Niks "desktop denken".

[Jan Ham]

Zijn er dan geen (wettelijke) richtlijnen waar een implementatie aan moet voldoen voordat het officieel in gebruik kan worden genomen? Of zijn die er wel maar niet afdoende?
Misschien is het erger en zijn er goede regels maar wordt er gewoon niet op gecontroleerd.

[Reactie gewijzigd door Jan Ham op 25 juli 2024 22:13]

[MAX3400]

Ik heb meerdere malen bij gemeentes gewerkt (niet specifiek aan DigiD) maar de regelgeving omtrent verschillende essentiele zaken lijkt per gemeente te verschillen. Zowel functioneel als technisch, front-end als back-end.

Bijvoorbeeld een email-functionaliteit mag een gemeente zelf bedenken; de ene gemeente gebruikt Exchange 2010 (van Microsoft) terwijl de volgende gemeente een ander pakket gebruikt zoals Zimbra. Je kan je voorstellen dat de compatibility tussen beide pakketten, en dan toegespitst op zeer specifieke technische zaken, soms niet goed is/gaat waardoor bijvoorbeeld een attachment in een groepsafspraak met een andere MIME-codering over de lijn gaat.

Ook iets simpels/lastigs als SSL-certificaten zijn niet universeel/landelijk belegd qua vereisten. De ene gemeente rolt een SSL-certificaat bijvoorbeeld uit door een Group Policy binnen Active Directory en beveiligt daarna de browser zodat gebruikers niet zelf een SSL-certificaat kunnen (de-)installeren. En de volgende gemeente gebruikt een niet-managed browser en heeft de lastigere taak om het SSL-certificaat in een werkstation-image te updaten.

[Rafe]

https://www.logius.nl/diensten/digid/aansluiten/

[himlims_]

waarom hebben zij uberhoubt toegang? zou bij voorhand al geblokkeerd moeten zijn. Aanklagen die handel; hoe kun je van bedrijven verlangen dat zij secuur omgaan met onze (persoonlijke)data, wanneer onze eigen overheid dat niet kan? amateurs

[Reactie gewijzigd door himlims_ op 25 juli 2024 22:13]

[MathijsParadijs]

Helemaal mee eens. Ik heb met verbazing zitten kijken naar de aflevering van opgelicht op Ned 1 over hoe onveilig DigiD wel niet is?!

DigiD is iets wat wel goed is opgezet door de overheid, echter is het zo dat aangesloten software (in dit geval gemeenten) ook hun veiligheid op orde moeten hebben. We moeten niet ineens gaan roepen DigiD is onveilig als een gemeente hun CMS niet op orde hebben.

DigiD is niet 'gekraakt', maar de randsoftware er omheen in dit geval.

[Proxx]

Goed is op gezet.... Haha ha. het idee is goed maar het is lang niet goed opgezet.
ik had op digid SMS code (2e stap verificatie) aangezet. (lekker veilig dacht ik)
kon na een paar weken op geen enkele manier meer op digid. 3keer brief om wachtwoord te wijzigen dat ook elke keer gedaan maar lukte nog steeds niet.

vervolgens bel ik de helpdesk. na 3 gespreken zegt de dame. maak jij gebruik van instantie xxx of xxx waarop ik antwoord nee.
Ow dan kun je de SMS verificatie niet gebruiken want dat geeft problemen alleen voor die instanties moet je SMS gebruiken want daar is het verplicht. maar zelfs dan geeft het problemen maar dan heb je geen keus.

WTF als iets vaker niet als wel werkt en het is optioneel haal die optie dan gewoon weg. geef me die keuze niet. of waarschuw mij voor de gevolgen

conclusie was dat ik maar een nieuwe digid moest aanmaken zonder SMS

hoezo kan een helpdesk die functie niet uitschakelen voor mijn account? zeker als ze weten dat het zoveel ellende geeft.


ow en het werkt zo goed die digid. je moet voor de gein eens proberen om bij meerdere instanties tegelijk in te loggen geeft ook rare problemen.

[Reactie gewijzigd door Proxx op 25 juli 2024 22:13]

[borft]

volgens mij heb je de klok horen luiden, maar weet niet waar de klepel hangt

Op het moment dat de implementatie van Digid bij een bepaalde instantie niet goed werkt, dan ligt het zeer waarschijnlijk aan die applicatie, en niet aan het Digid platform.

Veel mensen (laten we ze azijnpissers noemen) houden er gewoon van om overal lekker over te klagen. Als er geen single-sign-on platform is, dan moet je 1000 wachtwoorden + usernames onthouden, dat is natuurlijk ook weer niet goed.

[Proxx]

lees nog eens goed. het ligt wel degelijk aan de digid (SMS implementatie )
die functioneert niet goed. en pas bij de helpdesk wordt me dit afgeraden.
na 3 keer mijn wachtwoord per post opnieuw opvragen en een hoop frustratie later.

er wordt nergens vermeld dat je SMS verificatien alleen moet inschakelen als je gebruik maakt van de diensten van partij X of Y. omdat zij dat verplichten.

er staat ook nergens dat het zo goed als niet functioneert en problemen oplevert bij zowat elke instantie behalve en zelfs bij X en Y. en daar was de mevrouw van de helpdesk toch echt heel duidelijk in.

[borft]

zoals jij het verwoordt, geeft de helpdesk aan, dat sms verificatie bij bepaalde instanties niet werkt, en bij andere wel. Ergo, de sms verificatie an sich werkt wel, alleen bij bepaalde instanties niet. Dan is het toch logisch om de oorzaak bij de implementatie van de instantie te zoeken, ipv bij Digid zelf?

[Proxx]

nee zoals ik 2 maal zij geeft het bij alle instanties problemen alleen bij 2 instanties ben je verplicht het(SMS Verificatien) te gebruiken bij de rest is het optioneel

maar bij elke instantie geeft het problemen

[Reactie gewijzigd door Proxx op 25 juli 2024 22:13]

[Anoniem: 626555]

Inderdaad, hoe ongelofelijk laks gemeenten en allerlei overheidsorganen hiermee omgaan, is schrikbarend. Heel die zogenaamde privacy is 1 grote gatenkaas, en of DigiD in concept echt veilig is of niet, weet ik niet (ken de technische details niet) maar hoe mensen ermee omgaan reduceert het sowieso tot een gapend zwart privacygat.

En het lijkt ze ook geen zak te interesseren, want het is toch niemands verantwoordelijkheid. Dat is nog het ergste, maakt niet uit wat voor schandalig lek of privacyschending hieruit voortkomt, niemand is de lul (ja, degenen wiens gegevens lekken)

[Anoniem: 475099]

Helemaal mee eens. Ik heb met verbazing zitten kijken naar de aflevering van opgelicht op Ned 1 over hoe onveilig DigiD wel niet is?!

Hebbie een link voor mij zodat ik kan terugkijken? Wanneer was dat? Is dat met die 15-jarige gozer van wie zijn DigiD was gehackt en hij moest toen kinderbijslag terugbetalen? Daar heb ik over gehoord, maar ik heb het niet kunnen vinden op internet.

DigiD is iets wat wel goed is opgezet door de overheid, echter is het zo dat aangesloten software (in dit geval gemeenten) ook hun veiligheid op orde moeten hebben. We moeten niet ineens gaan roepen DigiD is onveilig als een gemeente hun CMS niet op orde hebben.

Daar ben ik het wel mee eens, maar ik denk dat dat niet het hele plaatje is. Lees mijn post van daarnet, waarin ik aangeef dat het menselijke aspect net zo belangrijk is om het systeem veilig te houden. Het draait echt niet alleen maar om techniek. Je kunt een Airbus 380 met de nieuwste snufjes aan boord verkopen aan een leek en het gaat ooit een keer mis. Zelfs als die leek een piloot in dienst neemt, dan is die leek verantwoordelijk voor het onderhoud. Zonder continu onderhoud geen veilig systeem. Dat geldt ook voor DigiD.
Daarnaast moet je bij DigiD er ook voor oppassen dat er geen verkeerde data in de database terechtkomt. Dat heeft niet direct te maken met technologie, maar ook weer met het menselijke aspect watje moet "overwinnen". Met puur techniek kun je geen succesvolle DigiD bouwen.

[RoestVrijStaal]

Ik vind het maar een half uitgewerkt idee. Het is geen slechte, maar er wordt geen alternatief geboden voor DigiD als er sprake is van afsluiting.

Stel dat mijn gemeente nou is afgesloten, hoe regel ik dan mijn zaken met de overheid?

[mashell]

Gewoon aan de balie met stapels papier.

[RoestVrijStaal]

NU kan dat nog, maar steeds meer balies worden vervangen door websites en openingstijden van diezelfde balies worden door bezuinigingen verkort.

[stresstak]

openingstijden van diezelfde balies worden door bezuinigingen verkort.

Dan gaan ze toch tijdelijk vaker en langer open ?
In geval van onwil, plichtsverzuim en in gebreke blijven kunnen ze altijd nog aangeklaagd worden.

[RoestVrijStaal]

Een "burger vs overheid"-rechtzaak? Dat vereist een lange adem van de burger.

[Reactie gewijzigd door RoestVrijStaal op 25 juli 2024 22:13]

[JustinoFTW]

Ook een typisch half uitgewerkt idee. Wij worden de dupe, omdat onze gemeente faalt

[i-chat]

Ook een typisch half uitgewerkt idee. Wij worden de dupe, omdat onze gemeente faalt

liever de dupe van het tijdelijke ongemak je zaakjes niet online te kunnen regelen dan permanent de dupe van talloze deurwaarders en dat soort zaken die je kapot maken omdat je niet betaald voor iets dat via identiteitsfraude in je schoenen is geschoven, om nog maar te zwijgen over hoe moeilijk het is daarvanaf te komen ik ken zelfs bedrijven die het toch proberen nadat een rechter al bewezen had geacht dat die persoon idd het slachtoffer was van dergelijke fraude... (maar ze hadden zijn naam; dus dat was makkelijker innen)

[MartijnHavinga]

Hoe kan je uberhaupt een digid-implementatie onveilig doen? Is dat dan niet een tekortkoming van digid? Bij het bedrijf waar ik werk beveiligen we onze sites met een openid oplossing, de gehele authenticatie (en de veiligheid daarvan dus oook) ligt bij onze openid implementatie en onze sites hebben daar geen invloed op. Als je een site van ons hackt heb je hooguit de login namen te pakken, maar de bijbehorende wachtwoorden / tokens / etc. niet.

[Rafe]

Als je doorklikt op het nieuwsbericht in de tweede alinea, lees je dat ze via het gemeente-cms (met een standaard wachtwoord) bij het wachtwoordenbestand van IIS konden komen, en daarmee daar admin-toegang tot de server verkregen.

Bij OpenID/OAuth2 moet je wel opletten dat je input valideert en je implementatie geen open redirect toestaat

[MartijnHavinga]

Dat met die standaard wachtwoorden had ik ook gelezen. Maar daarmee zou je iemand zijn digid login gegevens (behalve username) niet mee moeten kunnen achterhalen en het zou dus de veiligheid van digid aan zich niet moeten kunnen ondermeinen.

[Rafe]

Zelfs de loginnaam niet, want die voer je niet in op de gemeentesite. In dat artikel staat ook dat het verder niet helemaal duidelijk is hoe wat die kwetsbaarheid precies inhield.

DigiD is 'slechts' een inlogsysteem voor dienstaanbieders (gemeentes, belastingdienst, etc), het geeft een garantie af dat het persoon XYZ met zekerheidsniveau A of B is. De site van de aanbieder besluit zelf op basis daarvan iemand toegang tot iets te geven.

Die aanbieders hebben weer hun eigen databases met persoonsgegevens. Als die aanbieders hun beveiliging slecht op orde hebben, dan wordt er maar al te snel in de media geroepen dat DigiD zelf gekraakt is (zie initiële berichtgeving Telegraaf vs Tweakers) en dat ondermijnt vertrouwen in het hele systeem. Als iedereen zijn aangifte van het afgelopen jaar op straat ligt, is dat de fout van de belastingdienst, niet van DigiD.

Om de burgers vertrouwen in het hele DigiD-stelsel te laten houden, kan ik me goed voorstellen dat er gedreigd wordt met afsluiten. Het zou niet de eerste keer zijn: nieuws: Gemeente Eindhoven raakt DigiD-koppeling kwijt

[Reactie gewijzigd door Rafe op 25 juli 2024 22:13]

[Anoniem: 454685]

het standaardwachtwoord van het cms dat ze gebruikten niet wijzigden

Een beetje fatsoenlijk CMS heeft geen standaardwachtwoord.

[MAX3400]

Noem eens een fatsoenlijk en algemeen geaccepteerd CMS dat "out of the box" geen standaard wachtwoord heeft en tijdens installatie zelf een wachtwoord verzint of blanco wordt opgeleverd?

Je kan er natuurlijk donder op zeggen dat "de beheerder" zowel het verzonnen als het blanco wachtwoord direct opschrijft of verandert; in veel gevallen naar iets makkelijks want anderen moeten er later ook mee kunnen inloggen.

[Anoniem: 475099]

Noem eens een fatsoenlijk en algemeen geaccepteerd CMS dat "out of the box" geen standaard wachtwoord heeft en tijdens installatie zelf een wachtwoord verzint of blanco wordt opgeleverd?

Je kan er natuurlijk donder op zeggen dat "de beheerder" zowel het verzonnen als het blanco wachtwoord direct opschrijft of verandert; in veel gevallen naar iets makkelijks want anderen moeten er later ook mee kunnen inloggen.

Het systeem moet in ieder geval zo worden dat je het niet volledig kunt gebruiken zolang je het standaard wachtwoord niet wijzigt.
Aan de andere kant is niet iedere gebruiker een techneut, dus niet iedere gebruiker zal de noodzaak inzien van een sterk wachtwoord. Ik heb dit jaar nog iemand geholpen met het verzinnen van een wachtwoord. Deze persoon wist niet eens wat een wachtwoord was, maar hij had wel Facebook en de taalinstelling was Indonesisch, wat hij totaal niet spreekt!! Niet te bevatten, maar dat soort kromme dingen gebeuren dus echt in de praktijk. Anyway, ik heb hem het belang uitgelegd van een wachtwoord, dat het niet wenselijk is dat andere mensen gebruik maken van zijn account etc en vervolgens heb ik hem opnieuw gevraagd om een wachtwoord "dat niemand ooit zou kunnen raden". Toen kwam hij met de naam van een vrucht (zucht...). Dus hoezeer ik ook het belang uitleg van een sterk wachtwoord, een digibeet kan zich geen voorstelling maken van een sterk wachtwoord en van de gevolgen van misbruik. Tja, wil je DigiD goed kunnen beveiligen, dan zul je digitaal analfabetisme moeten aanpakken. Van iedereen moet je dan een techneut maken (zie je het al voor je?). Het is echt niet te doen om ervan uit te gaan dat leken gebruik kunnen maken van de commerciele diensten van een techneut (vergelijkbaar met een leek die de hulp inroept van een monteur), omdat de technologie zo snel gaat, er komen steeds nieuwe trojans etc, daar moet een leek allemaal van op de hoogte blijven. Als een leek de hulp inroept van een techneut, dan is het vrijwel altijd al veel te laat: het leed is al geschied. Er zitten zoveel haken en ogen aan DigiD en technologie in het algemeen. Op grote schaal toepassen van technologie is wat anders dan binnenshuis op individueel hobbyniveau je koelkast aansturen met je horloge.

[The Underminer]

Is digid niet noodzakelijk voor het functioneren van een gemeente? Als in : is zo'n dreigement realistisch. Vraag me af wat de impact is.

[MAX3400]

Tot enkele jaren geleden had je geen DigiD nodig voor alle zaken die je met de gemeente moest bespreken/aanvragen. Ook niet iedereen in NL heeft een DigiD maar kan gewoon aan de balie zijn/haar zaakjes regelen.

De vraag is (en was) dus: is de toegevoegde waarde van DigiD voldoende om het in te voeren. Gezien alle problemen, lekken en fraude hieromheen, zou ik zeggen "nee". Maar de overheid heeft 0 fallback in-place mocht DigiD morgen 100% gekraakt blijken te zijn.

[Anoniem: 382732]

Eigenlijk wel grappig, die discussies over ICT en overheid. In draadjes als deze wordt de overheid zo'n beetje afgebrand vanwege hun incompetentie, en in andere draadjes wordt bijvoorbeeld gepleit om de infrastructuur (vast en mobiel) in overheidshanden te geven zodat er eerlijkere concurrentie kan ontstaan. Volgens mij bijt dat elkaar.

[Anoniem: 475099]

Eigenlijk wel grappig, die discussies over ICT en overheid. In draadjes als deze wordt de overheid zo'n beetje afgebrand vanwege hun incompetentie, en in andere draadjes wordt bijvoorbeeld gepleit om de infrastructuur (vast en mobiel) in overheidshanden te geven zodat er eerlijkere concurrentie kan ontstaan. Volgens mij bijt dat elkaar.

Er zijn zoveel dingen in deze discussie die elkaar bijten hoor. In dit draadje heb ik ook wat dingen gepost die elkaar bijten. Ik denk dat het inherent is aan de manier waarop de overheid werkt. Dat hoort nou eenmaal bij de manier waarop de meeste overheden werken.