Onder andere Heise [1] meldt dat het Duitse eID systeem kwetsbaar is voor (door slachtoffers lastig te betwisten) AitM (*) aanvallen via een kwaadaardige app op een smartphone. (*) Attacker in the Middle Niet beperkt tot Duitsers? Nb. Hoogstwaarschijnlijk beperkt dit risico zich niet tot het Duitse eID systeem, maar geldt dit voor alle "elektronische identiteitsbewijzen", waaronder de aangekondigde EDIW (European Digital Identity Wallet). CtrlAlt en BSI Een onderzoeker, die zich CtrlAlt noemt, heeft deze kwetsbaarheid bij het Duitse BSI (Bundesamt für Sicherheit in der Informationstechnik [2]) gemeld. Wontfix Het BSI bevestigt de kwetstbaarheid [3] maar stelt dat er geen fix voor bestaat. Dat klopt, als de smartphone of de PC van een de eigenaar onvoldoende betrouwbaar is, kan een aanvaller die eigenaar impersoneren en zo identiteitsfraude plegen. Niet nieuw Bovengenoemde kwetsbaarheid is overigens niet nieuw, ruim 1 jaar geleden waarschuwde ik Ivo Jansch (één van de ontwerpers van EDIW) hier al voor ...