Klinkt als een totaal oplossing volgens bedacht door leken.
Met het verschuiven van diverse authenticatie gegevens naar
een eenzijdig middel als een id kaart maak je het per
definitie niet veiliger, je verschuift alleen het probleem
en daardoor wordt het in dit geval eigenlijk minder veilig.
Goede beveiliging bestaat uit een combinatie van diverse
gegevens en niet het gebruik van enkel 1 kaartje om toegang
te krijgen tot meerdere mogelijkheden.
Echte verbetering van de beveiliging krijg je door
multifactor authenticatie toe te passen en niet van
multi-single authenticatie vormen over te stappen op een
singel authenticatie vorm voor meerdere systemen waarbij de
gebruiker zelfs minder invloed heeft op hetgeen wat wordt
vertrekt als authenticatie.
Voor de gebruiker is dat simpeler, maar dat maakt het geheel
kwetsbaarder.
Het zou veiliger zijn als gebruikers verplicht zijn om zowel
de kaart te verstrekken als een gegeven dat alleen zij
kennen. Als die kaart of het kenmerk dan in verkeerde handen
komt is er dan nog vrij weinig aan de hand.

Wel veilig, maar privacy kun je dan wel vergeten..(?)

Wat een belachelijke onzin. Phishers en Men-in-the-Middle aller landen,
verenigt u, gouden bergen liggen voor het oprapen in België...

De goedgelovigheid van de burger kent geen grenzen....

En hoe wil men dat doen als de anonimiteit gewaarborgd is?
Hoe gaat men uberhaubt de anonimiteit waarborgen?

Ze kunnen niet zien dat meneer X Marc Dutroux is, maar wel
zien dat meneer X geen toegang heeft tot chatroems voor
onder de 16? Yeah, right...

Wat een paradox.. we weten wie je bent, maar je bent toch
anoniem.
Daarnaast vraag ik me af hoe de implementatie in elkaar zit,
je zou bijvoorbeeld het verkeer kunnen sniffen en een replay
attack kunnen uitvoeren. Helaas staan er geen technische
details in het artikel over het gebruikte protocol.

Elke Belg die over een die over een elektronische
identiteitskaart (eID) of een SIS-kaart beschikt kan
voortaan veilig chatten en surfen op het internet.

mijn god, en dan te bedenken dat ik al 10 jaar zonder zo'n
kaart surf en chat.

als je nu nadenkt wat me allemaal niet had kunnen gebeuren...
ik had zomaar mijn adres aan een gestoorde serie moordenaar
kunnen geven die mij op had kunnen zoeken en mijn hersens
had kunnen inslaan terwijl dat met zo'n kaart nu opeens een
volstrekt onmogelijk scenario is.

en als je zo'n kaart hebt dan is het ook nog eens water dicht!
want het is onmogelijk dat je de kaart op straat verliest
natuurlijk of dat een evil hacker er een vervalst met jouw
naam er op.

het is echt ongelovelijk mike!

valt dit bericht in de categorie belgen moppen ofzo?

ik begrijp echt niet waarom jullie hier in de reacties
zeggen dat dit het juist onveiliger maakt? leg dat nu eens uit?

en over privacy heb ik hetvolgende: ik heb geen idee of dat
systeem nu oké is voor de privacy of niet; dat laat ik aan
specialisten over, maar mijn mening is: als je niets te
verbergen hebt, dan zever je daarover niet. ze gaan echt
niet nakijken wat, waar en wanneer je wat doet hoor van
miljoenen mensen. Neen, enkel indien je verdacht bent voor
bepaalde onwettige praktijken, en dan mogen ze van mij alles
weten van iedereen. ik heb geen probleem met privacy; ik doe
niets tegen de wet, en mij zullen ze dus ook niet in het oog
houden

Internetten is nu opeens veilig als je een belgische
id-kaart hebt.... klinkt als Haarlemmerolie-marketing.

Kort uitgelegd: beveiliging wordt niet beter door het
simpeler te maken.

In plaats van verschillende manieren om te bewijzen dat je
iemand bent en rechten zou hebben tot bijvoorbeeld
bankgegevens en andere vertrouwelijke of persoonlijke zaken
wordt hier gezegd dat het veiliger wordt omdat je nu met een
persoonlijke kaart je recht op toegang kan bewijzen.
Gevolg: iemand hoeft niet meer moeite te doen om meerdere
mogelijkheden uit te testen per systeem of meerdere systemen
op verschillende manieren te gebruiken: het gebruik van
iemands kaart is al voldoende om de beveiliging te doorbreken.

Nu kun je beargumenteren dat als je geen kaart hebt je ook
op geen systeem binnen komt: leuk, maar als je eenmaal
toegang hebt tot de gegevens om een systeem binnen te komen
kom je ze allemaal binnen. De impact van het doorbreken
wordt groter en de mogelijkheid om deze te doorbreken ook.
Fysieke identificatiemiddelen zijn niet bepaald waar mensen
het veiligst mee omspringen.

Trek het je niet aan!

Hier zitten de "specialisten", de slimste jongetjes van de klas.
Het is over het algemeen het beste de commentaren hier met een
korreltje zout te nemen.

lees 1984

Hier zitten misschien wel de slimsten van de beveiligingsklas maar niet
degene met de meeste feitenkennis over de eID-kaart. Nou moet ik eerlijk
toegeven dat dit artikel ook niet de info bevat over de opzet van de eID-
kaart, maar een beetje expert kent deze eID-kaart omdat deze 2 jaar
geleden al is aanbesteed en dit dus niet het eerste artikel is.

Feit is dat de eID-kaart gebruik maakt van certificaten die zijn uitgegeven
op gelijkwaardig betrouwbaarheidsnivo als van een paspoort. Daarnaast
is het zo dat de kaart alleen werkt in combinatie met de PIN-code die de
houder ervan natuurlijk geheim moet houden. Er zijn 2 gescheiden
certificaten op de kaart: 1 voor identiteit en 1 voor handtekening. Verschil is
technisch maar 1 bit maar juridisch het verschil dat je in het eerste geval
je digitale paspoort laat zien omdat je toegang wilt en in het tweede geval
instemt (wilsuiting).

Dus: zeker weten wie er aan de anderre kant zit is het versturen van een
bericht. Door intypen PIN wordt op de kaart een getekentde hash gemaakt
waarbij de website kan verifieren wie de ondertekenaar is, of het certificaat
nog geldig is (ingetrokken of geldigheidsdatum), en of het certificaat door
de Belgische staat is uitgegeven. Gewoon X.509 dus.

Anoniem kan ook: checken of het certificaat geldig is EN of het is
uitgegeven door de Belgische staat (stamcertificaat). Moet je natuurlijk wel
vertrouwen dat de betreffende website toch niet de houdergegevens
uitleest (want dat kan de kaart niet tegenhouden).

En dan de risico's:
- Phishing: loopt minimaal risico want je kan hooguit de PIN-code phishen
en hebt niet de private sleutel (die verlaat immers nooit de kaart =
smartcard = secure device FIPS level 3). Phishing zal alleen zin hebben
als je de kaart tevens in bezit krijgt en weet te kraken (om private sleutel te
krijgen). Nog beter: kraak de private sleutel van het stamcertificaat en je
hebt alle kaarten gekraakt.
- Man-in-the-middle: kan nog steeds: kaarthouder denkt een overboeking
te ondertekenen van een banktransactie. In werkelijkheid ondertekent de
kaarthouder een transactie van geheel andere aard (bijv. dat ie schuld
bekent van een misdrijf) en is er "onweerlegbaar" bewijs dat ie getekend
heeft. Dit principe staat ook wel bekend als What-You-See-is-Not-What-
You-Sign. Man-in-the-middle risico's verminderen liggen niet op het vlak
van de kaart (is sterkste schakel) maar dat de kaarthouder goed
controleert met welke webdienst ie nu bezig is, ofwel de kaarthouder moet
de identiteit van de webdienst beter controleren dan voorheen en elke
transactie in principe bewaren als bewijs.

Ben benieuwd naar de reacties hierop.

Jammer, dat mensen zo naief kunnen zijn.

je realiseer je niet hoezeer je andere goedwillenden in
gevaar kunt brengen met deze houding

Die kaart regelt alleen de betrouwbare identiteitsvaststelling maar niet wat
degene mag (autorisatie).

Als ik de tekst lettelijk lees "kinderen of senioren" dan vermoed ik haast dat
ze autorisaties bepalen aan de hand van geboortedatum. Als dat
elektronisch op die kaart staat dan laat je wel een hoop footprints achter
op zo'n chatforum (naam, geboortedatum en vermoedelijk ook andere
gegevens omdat er ook Belgische equivalenten zijn van "Jansen")

mijn god, hoe naief kan je zijn.... (of gewoon plain stupid)

wie zegt dat jij niets tegen de wet doet?
ken jij het wet boek soms uit je hoofd?

en waarom zou je je klakkeloos aan elke wet houden?

ik denk niet dat er ook maar 1 persoon op deze wereld rond
loopt die nog nooit iets fout heeft gedaan.

iedereen loopt wel eens door rood.
zeker als er geen auto in velden of wegen te bekennen is.
dus stel dat er een systeem is die dit wel registreerd ben
je toch het zakje of je het er nu eens bent of niet.

stel vervolgens dat je op een dag word aangehouden omdat je
achterlicht kapot is (wat jezelf mischien nog niet eens was
opgevallen)
dan word er een onderzoek gestart en al die oude gegevens
door gespit en komt naar boven dat je ook eens door rood
hebt gelopen.
dat zijn 2 verkeers overtredingen en pats, meneer is dus een
recividist. en stel nu ook nog eens dat er inmiddels een wet
is die zegt dat bij recidive bij een verkeers overtreding je
rijbewijs automatisch voor onbepaalde tijd wordt ingetrokken....
klinkt niet onaannemelijk...
dan wil ik wel eens weten of je nog graag hebt dat alles
over je wordt bij gehouden.

je zou trouwens maar in maleisie wonen en op straat je
vriendin een zoen geven wat toevallig door een overheids
camera wordt gefilmt... kan je 5 jaar brommen en als ze gaan
spitten in het archief blijkt dat je dat wel vaker doet en
krijg je levens lang.

kan je zeggen dat dit soort wetgeving nooit in nederland zou
komen... maar dat dachten ze in maleisie een paar jaar
geleden waarschijnlijk ook.

het komt voornamelijk door onwetende idioten als jij dat we
binnenkort met dit soort gebakken peren zitten.
dus alsjeblieft, doe tenminste een poging tot nadenken voor
dat je iets neer kwakt.

alvast ontzettend bedankt!

iets is beter dan niets?

Hulde, dan is er gelukkig wel sprake van multi factor
authenticatie wat het een heel stuk moeilijker maakt om
authenticatie te misbruiken. Maar dat kan werkelijk niet
garanderen dat wie er aan de andere kant zit de rechtmatige
persoon is of werkelijk wil instemmen met gebruik. De kans
lijkt echter zeer beperkt dat die garantie niet aangenomen
mag worden.

Dat is helaas alleen een verificatie of de pas van de
eigenaar is, niet of de pas door de eigenaar gebruikt wordt.
Het is singlefactor authenticatie en daarmee behoorlijk
onveilig om echt te vertrouwen wie er gebruik maakt.

Het risico hangt sterk af van de
mogelijkheden die je bij beide kanten hebt. Hoe vrijer beide
kanten zijn in het gebruik van de mogelijke middelen, hoe
kwetsbaarder.

Beste Anoniem, hulde voor je uitleg! Ben blij jij de energie erin hebt
gestoken en dat ik het niet heb hoeven doen...

Cheers,
Martijn

Gelieve steeds te bemerken dat als je de pin code van je EID niet hoeft in
te geven (is blijkbaar de meest geliefde implementatie), er geen sprake is
van authenticatie enkel identificatie. De info die door de
website/identificatie software wordt uitgelezen zijn de publieke velden
(certificaat, leeftijd, geslacht, ..) deze kunnen gecopieerd worden op een
andere (java)smartcard.

Zonder gebruik te maken van de pin (en dus private sleutel) ben je als
website/tegenpartij dus nergens zeker van. Het is enkel door de smartcard
een bewerking te laten uitvoeren met de private sleutel dat men zeker is
dat
a) de persoon aan de andere kant de kaart in zijn bezit heeft (we gaan
ervan uit dat de private sleutel nooit de kaart kan verlaten)
b) de persoon de pin code van de kaart kent
a+b geeft enige zekerheid dat dit ook de eigenaar is van de kaart. (met
verificatie van de revocation status kan je de consequenties van
diefstal/verlies van de kaart en bij horende pin nog verder beperken)

Online (OCSP) verificatie van een certificaat is gratis indien het aantal
verificaties beperkt blijft (< 10 per dag), voor hogere volumes moet men
betalen
De consultatie van de CRL (refresh elke 4u) is gratis

"Gelieve steeds te bemerken dat als je de pin code van je
EID niet hoeft in
te geven (is blijkbaar de meest geliefde implementatie), er
geen sprake is
van authenticatie enkel identificatie."

Helaas beseffen de meeste gebruikers het verschil in gevaar
niet en zal het zonder wetgeving niet vreemd zijn dat het zo
wordt toegepast voor zeer gevoelige handelingen zonder dat
daar tegen geprotesteerd wordt.
Helaas niets vreemds dat dat gebeurt: het is nog dagelijks
gebruik dat zoveel vertrouwen in identificatie wordt
gestoken om aan te nemen als authenticatie. Neem
bijvoorbeeld het gebruik van de creditcard of erger: cash
automaten die al geld uitspugen als enkel je bankpas er in
hebt gestopt. Streven naar meer veiligheid heeft met zulk
gebruik alsnog erg weinig zin.

Eerst zien en dan geloven. Heel wat gemeentebesturen halen het tempo
niet waarop de "uitreiking" van de elektronische ID zou moeten gebeuren.
Een gigantische operatie die -zoals vele andere gigantische operaties-
een te strikt tijdschema moet volgen.
De rest zien we nog wel...

Bij mij staat Het Laatste Nieuws niet als kwaliteitskrant aangeschreven.

Patrick.