De laatste weken lijken de mensen die de overheid op ICT-gebied gelijkstellen aan een onvermijdelijk drama gelijk te krijgen. Zo zagen wij het drama DigiNotar, het lekken van de miljoenennota en aanhoudende berichten over fraude met DigiD, dit keer bij een paar straten in Rotterdam met aangiftes en andere belastingzaken. Het eind lijkt niet in zicht.

Ik ben eigenlijk een beetje verbaasd. Door de jaren heen heb ik voor verschillende grote overheidsclubs gewerkt, en ik zag daar best goede zaken op beveiligingsgebied. In een paar gevallen zelfs hele goede zaken. Maar het falen lijkt de laatste tijd structureel. Blijkbaar beschikt de overheid over onvoldoende kennis van computerbeveiliging om haar ambities als elektronische overheid waar te kunnen maken.

De overheid laat hierbij veel van haar ICT over aan de markt, en anders worden er vaak blikken externen opengetrokken. En niet alleen voor de technische uitvoering, maar ook voor de aansturing. Als er dus iets mis gaat met de ICT-kennis van de overheid, dan faalt de markt ook. De kennis is blijkbaar ook niet voor goed geld te koop.

Nu valt mij op dat diverse politici dit ICT-falen aangrijpen om de overheid als de categorische oorzaak van het probleem te kenmerken en om vervolgens te pleiten voor minder overheid en meer markt. Dat is het kapen van de discussie. Het leidt haar weg van waar het in de essentie over gaat. De essentie is dat een overheid niet dramatisch mag falen in wat ze doet, omdat de burger niet naar een concurrent kan gaan.

Overigens, als iemand serieus denkt dat de inning der rijksbelastingen geprivatiseerd moet worden, moet hij eens een geschiedenisboek over het Ancien Regime openslaan. Tot ver de 18e eeuw inde ‘de markt’ de belastingen, met massale ontduiking tot gevolg, op een schaal waar Griekenland niets bij is, en uiteindelijk desastreuze gevolgen voor de overheid.

Maar ik zou het over DigiD hebben. Deze rijksbrede voorziening toont het overheidsdrama met ICT in haar volle omvang. Laten we aan het begin beginnen. BZK is de formele eigenaar van DigiD. Het oorspronkelijke product is gebouwd door BKWI en uitgerold door de ICTU. ICTU stuurt het tegenwoordig aan. Logius beheert het. Andere organisaties koppelen hun applicaties aan de DigiD-voorzieningen.

DigiD beschermt de achterliggende systemen van heel veel verschillende eigenaren die op applicatieniveau netjes moeten integreren. Het is een omvangrijk schip met een heleboel kapiteins en de wendbaarheid van een mammoettanker. Of, in de terminologie van A-Select, de software onder DigiD, een federatie van beveiliging.

In een federatie is er een gedeeld beveiligingssysteem en zijn de aangesloten applicaties daarvan afhankelijk voor hun veiligheid, mits ze zelf goed koppelen. DigiD is dat gedeelde systeem. In de praktijk is er bij een federatie altijd sprake van leiders en volgers, maar dat is bestuurlijk niet mogelijk. Een op afstand geplaatst uitvoeringsorgaan van een kerndepartement kan immers geen opdrachten geven aan het kerndepartement van een ander ministerie, laat staan aan een gemeente of een verzelfstandigd bestuursorgaan. Dat is vragen om ongelukken.

DigiD is gebouwd op basis van een commercieel product, A-Select van Alfa Ariss, een dochter van Vasco. A-Select biedt een generieke aanlogservice voor applicaties die er ‘achter’ opgesteld staan. De beschermde applicatie krijgt van DigiD door dat iemand correct is aangelogd én wie dat is, zodat de applicatie daar dan de juiste toegangsrechten aan kan koppelen.

Zoals je in NRC Handelsblad hebt kunnen lezen, kon de fraudeur aanloggen met het DigiD van iemand anders dan diegene van wie de gegevens aangepast werden. Dat betekent dat in de applicatie achter DigiD het tweede deel - de koppeling naar de user - ontbreekt. Je moet aanloggen, maar je kunt na het aanloggen naar de spullen van een andere gebruiker. Deze omissie maakt de fraude die het NRC in Rotterdam aantrof technisch mogelijk. Dat is heel ernstig, om het maar voorzichtig uit te drukken.

Gelukkig heeft de Belastingdienst deze mogelijkheid ‘afgesloten’. Dossier gesloten?

Nee. Zo gemakkelijk gaat het niet.

Het echte probleem is dat dit misbruik jarenlang mogelijk is geweest. Weet je nog: de belastingdienst adviseerde in het voorjaar van 2007 om de DigiD van de buurman te gebruiken als je je eigen DigiD vergeten was en toch op tijd je aangifte de deur uit wilde hebben. Op technisch niveau betekent dit dat de koppeling tussen de user in DigiD en de user in de applicatie erachter op dat moment niet aanwezig was. Hetzelfde gat dus. Als er geen heel merkwaardig toeval in het spel is, bewijst dit dat DigiD in combinatie met de Belastingdienst zeker vier jaar heel erg lek is geweest. En waarschijnlijk al sinds de oplevering van de koppeling. Het advies uit 2007 bewijst tevens dat dit gat vierenhalf jaar geleden al bekend was – sterker nog, de burger werd aangemoedigd van dit beveiligingslek gebruik te maken. Feitelijk was het een oproep tot identiteitsfraude.

De enige conclusie die ik kan trekken is dat gedurende vier jaar het systeem van de Belastingdienst áchter DiGID bewust en categorisch onveilig is geweest. En pas dit jaar was er een handige buurman in Rotterdam die het geheel doorzag en omkeerde ten eigen bate, en tegoeden van z'n buren ging creëren en incasseren. De overheid wist niet beter dan de ten onrechte uitgekeerde bedragen op te eisen bij de bestolen Rotterdammers. Terwijl het gat al jaren bekend is, binnen de belastingdienst althans.

Zo’n gat vier jaar open laten. Onvoorstelbaar. Dat is niet een beetje dom. Dat is superdom. Van het verzwijgen van beveiligingsproblemen kun je failliet gaan, zoals DigiNotar nu uit eigen ervaring weet. De klanten lopen immers zo snel mogelijk weg en komen voor je het weet met schadeclaims.

Van de overheid weglopen is in de praktijk wat moeilijker en ertegen procederen bij voorbaat kansloos. En onbetaalbaar. Een overheid kan hooguit moreel failliet gaan.

Terug naar papier is ook uitgesloten. De problemen met DigiD moeten dus hoe dan ook opgelost worden. Er bestaan geen wondermiddeltjes, dus de oplossing moet passen binnen de bestaande mogelijkheden. Laten we eens zien welke dit zijn.

Een nieuw DigiD-systeem? DiGID 4.0 is nabij, en dat is een geheel ander systeem, van een andere leverancier. De belangrijkste vraag is of dit soort problemen dan nog kunnen voorkomen. DiGID 4.0 is weliswaar een moderner WebSSO (Web Single Sign On) systeem, maar ook daarbij geldt dat de koppeling met de achterliggende applicatie goed gelegd moet worden. Het antwoord is dus ja, in de nieuwe versie van DigiD kan hetzelfde mis gaan. Overigens is A-Select ook een prima product, maar in onbekwame handen is dat geen garantie. Beveiligingssoftware is nu eenmaal nooit hufterproof.

Strenger toezicht? Zoals het bij kritieke systemen van de overheid voorschrift is, worden ze met enige regelmaat door een auditor bekeken. De bevindingen zijn nooit zodanig geweest dat de systemen aangepast werden. De onderdelen zijn ieder op zich ongetwijfeld bekeken, maar wie heeft de keten bekeken? Is alleen het proces bekeken, zoals bij DigiNotar? Hoe het ook zij: er is niet goed gekeken.

Het idee uit de Tweede Kamer om voortaan ook hackers mee te laten kijken is zo slecht nog niet. Jammer genoeg is dat bij DiGID al lang gebeurd en toen was de boel blijkbaar in orde. De koppeling naar de belastingdienst is die keer hoogstwaarschijnlijk niet meegenomen, maar de belastingdienst laat zelf ook regelmatig dergelijke hackertests uitvoeren. Er wordt dus wél zorgvuldig gewerkt.

De waarde van testbevindingen door hackers - in jargon penetratietesters - is in praktijk knap lastig. Pentesten laten niet zien welke gaten er zijn, maar welke gaten de pentester op het moment van testen kon vinden. Iedere pentester zal dus weer andere dingen vinden. Bovendien mag een pentester alleen aangegeven doelen toetsen, en niet zelf op zoek gaan naar achterdeuren, want wie weet welke productiesystemen van andere partijen in de keten gestrekt gaan. De hacker met de witte hoed zal dus überbraaf bezig zijn en de bevindingen navenant. De opdrachtgever zit niet op dit soort verfijnde nuances te wachten, die wil gewoon een verklaring dat alles goed is. En de commerciële bureaus die pentesten uitvoeren, geven toch al zelden de beperkingen van de testbevindingen mee.

Daarom moeten we naar een samenhangend model van toezicht. Een breder model dat meer recht doet aan de technische vervlechting van de systemen in plaats van aan de bestuurlijke versnippering, zoals het huidige controlemodel waarin iedereen het eigen toezicht regelt ‘conform de richtlijnen’. Het geheel van een WebSSO-federatie is immers meer dan de som der delen. Toetsing moet daar rekening mee houden.

Wat écht ontbreekt in het toezicht is een klokkenluidersregeling voor de ICT-ers die met dit soort projecten te maken hebben, zoals ik begin 2009 al bepleitte. Dan kunnen de betrokken techneuten hun verhaal kwijt, wat in een normale projectcontext zelden mogelijk is. Deze regeling moet er bovenal voor zorgen dat repercussies uitblijven: boodschappers zijn immers onveranderd impopulair. Het heeft natuurlijk wel een stevig spamfilter nodig.

Een systeembrede aanpak van toezicht verschuift de discussies van het management naar de technische werkelijkheid. Dit maakt het geheel intern beduidend minder politiek gevoelig. Ik denk dat de securitytoppers die voor de overheid werken, al dan niet als inhuur, dan wel goed werk durven te leveren.

Een laatste punt. De minister heeft in dit dossier - wellicht onbewust en onbedoeld - de Kamer misleid in zijn poging tijd te rekken. Het gat was immers bekend, hoewel het bij de Belastingdienst zat en niet bij Donners eigen ministerie. Nu zal niemand dit Donner persoonlijk aanrekenen, gegeven zijn zorgvuldig gecultiveerde imago van fossiel op een opoefiets. Zo iemand snapt toch niets van computers? Toch? Je moet het Donner nageven, het is razend knap.

NRC Handelsblad had gezien het maatschappelijk belang van DigiD echter groot gelijk dat ze niet afwachtte en zelf op onderzoek uit ging. We hebben juist in het digitale overheidsdossier al een veel te lange traditie van ontkenning, woordenspelletjes, bagatelliseren en bestuurlijk traineren. Tegen dit gedrag is één Brenno de Winter veel te weinig, dus het is goed dat meer journalisten zich in dit dossier begeven. Ik hoop dat deze nieuwe lichting ook de benodigde scherpte heeft, want die is heel hard nodig om door alle leuterkakel heen te prikken.

Leuterkakel, zoals dat Donner na het vervangen van de DigiNotar-certificaten DigiD weer ‘veilig voor gebruik’ noemde. Dat is semantisch vast wel correct; en dat er maar een paar fraudegevallen met DigiD bekend zijn, ook. Er werd immers gefraudeerd ná de DigiD login, niet met DigiD zelf. Meer dan een woordenspelletje is dit echter niet. De systemen die met DigiD beveiligd zouden moeten zijn, zijn dat in minimaal één - zeer belangrijk - geval niet. En wie weet, zijn het er nog meer. Onkunde en onbekwaamheid zijn echter geen acceptabel excuus voor een minister, zoals het staatsrecht stipuleert.

En de burger? Die zit met de brokken, want de burger heeft ten opzichte van de overheid geen contractvrijheid en is veroordeeld tot het gebruik van systemen als DiGID. Ik raad iedere burger aan even na te kijken of de geldstromen van en naar de belastingdienst vanaf 2006 wel kloppen. Doe dan ook de stromen naar andere overheden, en dan niet alleen het geld. Wie weet kun je wel een bouwvergunning aanvragen voor het pand dat je over twee jaar wilt kopen, of wat dan ook dat er nog meer gekoppeld is. Gelukkig zijn dat er minder dan bedoeld. Er zouden immers nog meer handige buurmannen kunnen rondlopen, die nog niet betrapt zijn. Of die nu op het idee komen.

Maar wij zijn met z’n allen ook best wel dom: blijkbaar is bij niemand van alle kritische securitymensen in ons land een lichtje gaan branden in 2007 dat DigiD niet op de juiste manier gekoppeld was aan het achterliggende systeem van de belastingdienst. Het lijkt er veel op dat ook buiten de overheid niemand in dit land voldoende kennis van beveiliging heeft. Behalve dan die handige buurman in Rotterdam.

Door Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Laatste 10 columns