Trusted Digital Identity Symposium 2014: ‘De betrouwbaarheid staat ter discussie’

In 2017 moet het contact tussen burger en overheid volledig digitaal zijn ingericht, zo is in ieder geval de ambitie van het huidige kabinet Rutte II. Ondertussen maakt diezelfde burger zich steeds grotere zorgen of zijn ‘digitale identiteit’ wel veilig is. “Identiteitsfraude is een serieus probleem”, aldus Wilma van Dijk, directeur Cyber Security bij de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV).

Van Dijk deed deze uitspraak tijdens het Trusted Digital Identity Symposium 2014, een door Vasco Data Security georganiseerd evenement dat op 11 september plaatsvond in Maarssen. Om aan te tonen wat de gevolgen kunnen zijn van identiteitsfraude, toonde de directeur Cyber Security een filmpje van ‘Safe internetbanking.be’. Hierin wordt de identiteit van hoofdrolspeler ‘Tom Degroote’ middels phishingmails, neptelefoontjes en het vergaren van informatie op social media overgenomen door een hacker. Aan het einde van het filmpje slaagt deze hacker erin om bij ‘onze Tom’ een kostbare harp af te laten leveren die hij nooit heeft besteld.

Van Dijk haalde ook het voorbeeld aan van Ted Kennedy - tot aan zijn dood in 2009 senator van de staat Massachusetts - die in 2004 tot vijf keer toe de toegang tot een vliegtuig werd ontzegd omdat zijn naam voor zou komen op een lijst met terreurverdachten. “Achteraf bleek dat iemand anders zich bediende met zijn identiteit.”

Gezamenlijke ambitie

“De betrouwbaarheid van de digitale identiteit is een zeer heikel onderwerp”, zo constateerde keynotespeker Robbert Hoeffnagel, hoofdredacteur van Infosecurity Magazine. “Na een hele reeks aan beveiligingsincidenten maken burgers zich zorgen. Dan kan minister Opstelten wel met zijn zware basstem zeggen dat het allemaal veilig is, maar iedereen merkt dat het anders zit. De betrouwbaarheid staat ter discussie.”

Als het aan Van Dijk ligt, komt daar snel verandering in. “Onze ambitie is om leidend te zijn op het gebied van cybersecurity.” Volgens Van Dijk hebben burgers, private partijen en overheid een gezamenlijke verantwoordelijkheid om die ambitie, die is neergelegd in het ‘Actieprogramma 2014-2016’, te realiseren. “Burgers moeten weten wat cyberhygiëne is, private partijen hebben een zorgplicht en de overheid moet faciliteren.”

Nederlandse eID

Een voorbeeld van de faciliterende rol van de overheid is het goed inrichten van de ‘elektronische ID’. De ‘eID’ is de opvolger van de DigiD ‘die niet sterk genoeg was’, zo vertelde cryptograaf Eric Verheul die betrokken is bij het Nederlandse eID-programma. “Doel is om iets neer te zetten waar niet alleen de overheid maar ook de private sector iets aan heeft. Bij het publiek is het besef doorgedrongen dat een inlog met gebruikersnaam en wachtwoord niet meer afdoende is; situaties zoals naaktfoto’s die uitlekken kunnen niet blijven bestaan. Een organisatie als Thuiswinkel.org heeft weer behoefte aan een stelsel waarmee niet alleen de identiteit kan worden vastgesteld, maar ook of personen wel of geen 18 jaar oud zijn.”

In deze visie kon beleidsmedewerker Elaine Oldhoff van Thuiswinkel.org zich helemaal vinden. Volgens Oldhoff zijn klanten eerder geneigd om informatie te delen als ze zelf de controle hebben over hun privacy. “Het eID-stelsel is een goede manier om transparantie en controle te bieden. Ook hopen we dat de leeftijdsverificatie (bijvoorbeeld bij de aanschaf van alcoholhoudende dranken, red.) wordt opgelost met de eID.”

Privacy en controle

Binnen eID worden er meerdere maatregelen genomen om de gebruiker de privacy en controle te bieden waar Oldhoff het over had. Om te voorkomen dat bijvoorbeeld een webwinkel teveel informatie ontvangt over de bezoeker - en kan gaan ‘profilen’ - geeft eID een met cryptografie gegenereerde ‘pseudoID’ door. “Optioneel kun je attributen toevoegen, zoals een geboortedatum als dat nodig is voor de aanschaf van een product”, aldus Verheul. De webwinkel krijgt niet de exacte leeftijd door maar alleen of iemand wel of geen 18 jaar oud is bijvoorbeeld.

Ook zijn het niet langer de organisaties die bepalen hoe een gebruiker zich aanmeldt, maar de gebruiker zelf. “Het nieuwe eID gaat uit van multi-token support en de gebruiker bepaalt van welk token hij gebruikmaakt”, aldus Verheul. “Welk token je ook gebruikt, je komt altijd op dezelfde plaats uit. Organisaties profiteren zo van elkaars sterke middelen.” Een belangrijk uitgangspunt daarbij is dat eID zoveel mogelijk de bestaande authenticatiemiddelen hergebruikt. “Het is nooit ons idee geweest om een ‘DigiD-kaart’ in te voeren als enige authenticatiemiddel.”

Belgische eID

Tijdens het TDI-symposium passeerden meerdere tokens de revue die mogelijk kunnen worden gebruikt voor eID-authenticatie. Zo presenteerde George Poel, bij Rabobank Nederland Adviseur Information Security & Risk Management, de nieuwe ‘Rabo Scanner’ voor internetbankieren die in 2015 naar alle klanten wordt ‘uitgerold’. Op een vraag uit de zaal of het nieuwe apparaatje in de toekomst mogelijk ook kan worden gebruikt om via eID in te loggen op de dienstverlening van derde partijen, moest Poel echter het antwoord schuldig blijven.

Door de aansluiting op het Europese eIDAS - Electronic Identification and Signature (Electronic Trust Services) - moet het in ieder geval wel mogelijk zijn om het Nederlandse eID-stelsel te gebruiken in combinatie met bijvoorbeeld de Belgische eID-kaart. Deze elektronische identiteitskaart is al sinds 2003 in gebruik. “Al in 2002 hebben wij de wagen genomen naar Nederland, want daar liep toen een project over eID”, merkte Frank Leyman van de Federale Overheidsdienst Informatie- en Communicatietechnologie (Fedict) bijna vilein op. “Wij zijn toen maar begonnen want jullie hadden blijkbaar iets langer de tijd nodig.”

“In tegenstelling tot in Nederland doen wij het wel met één systeem en één kaart”, constateerde Leyman. “Het is een sleutel om deuren te openen, maar ook om toegang te krijgen tot de plaatselijke milieustraat, de disco, de bibliotheek of de drankautomaat met bier. In online modus kun je er bijvoorbeeld aangiftes mee doen of bedrijfsinformatie mee opvragen.”

“Ik gebruik mijn eID vooral voor het ondertekenen van documenten”, vertelde Jos Dumortier, die als professor ICT-recht is verbonden aan de Katholieke Universiteit Leuven. Dumortier raakte daarmee een actueel onderwerp aan: het Europese wettelijke kader voor elektronische handtekeningen dat stelt dat een ‘gekwalificeerde elektronische handtekening’ gelijkstaat aan een geschreven handtekening op papier. Dit kader bestond in de vorm van een richtlijn maar heeft nu in gewijzigde (ruimere) vorm de status gekregen van een verordening die in september in werking is getreden. “Ik vraag me echter af of we nu niet regelgeving bedenken voor iets wat al lang achterhaald is. Een handtekening behoort toch vooral toe aan de wereld van papier en haal je te voorschijn bij een dispuut. In de digitale wereld gaat het erom dat we systemen bouwen waarmee het makkelijk is om te achterhalen wat er is gebeurd.”

Ontnuchterend

Na de verschillende presentaties over eID-stelsels en tokens borrelde tijdens de discussies de vraag op of er niet teveel nadruk ligt op de burger die zijn identiteit moet bewijzen. “Maar hoe weet je als burger dat je ook echt tegen een overheidssite zit te praten”, zo vroeg een van de aanwezigen zich af. Het meest ontnuchterende antwoord op die vraag kwam misschien wel van Maria Genova, columniste en auteur van het boek ‘Komt een vrouw bij de h@cker’. “Er is geen enkel veilig systeem, dat wordt keer op keer bewezen. En wie denkt dat de burger wel voor zijn eigen veiligheid zorgt, is naïef.”

Ferry Waterkamp is freelance journalist