Door Erik van Straten: Door Reinder: Ik begrijp niet goed waarom er niet gekozen wordt voor een hardware token. Omdat, tenzij ze door de overheid worden "vóór-ingevuld" (da's gedoe), zo'n token niet bij voorbaat bewijst dat jij jij bent. Net zoals een TOTP-code en een Passkey dat niet doen. Al die "naamloze" authenticatoren bieden pas (aanvullende) bescherming de keren dat je inlogt nadat zij zijn gekoppeld. Totdat je er één kwijtraakt - of een identiteitsfraudeur (die jouw user-ID en wachtwoord kent) claimt dat hij jij is en die tweede factor is kwijtgeraakt. Dat heet onboarding. Ook voor DigiD heb ik ooit dat proces doorlopen: aanvraag DigiD account via web, daarna een brief thuis ontvangen met een activeringscode, daarna op web ingevoerd en een account aangemaakt. Daarna zou je bijvoorbeeld TOTP kunnen koppelen aan het account. Bij vergeten van password of TOTP gewoon dit proces van scratch weer doorlopen. Eventueel zou de brief vervangen kunnen worden door een fysiek bezoek aan het gemeentehuis ...