Versleuteling van DigiD-gegevens voldoet niet aan eisen
DigiD-gegevens worden gedeeltelijk versleuteld opgeslagen, maar de gebruikte encryptie voldoet niet aan de gestelde eisen, zo blijkt uit onderzoek (pdf) van de Algemene Rekenkamer naar het ministerie van Binnenlandse Zaken. Vorig jaar maakten ruim 13 miljoen mensen zo'n 250 miljoen keer gebruik van DigiD.
De afgelopen jaren constateerde de Rekenkamer dat DigiD niet volledig voldeed aan belangrijke informatiebeveiligingseisen. Het ging hierbij om de periodieke uitvoering van veiligheidsonderzoeken, het versleutelen van gegevens en actieve controles op systeemvastleggingen (logging en analyse). Het ministerie heeft vorig jaar verschillende acties ondernomen om deze beveiligingsrisico's weg te nemen. Iets dat in mei vorig jaar door middel van een onafhankelijke audit is bevestigd.
De Rekenkamer meldt nu dat DigiD-gegevens gedeeltelijk worden versleuteld, maar dat de gebruikte encryptie niet volledig voldoet aan de gestelde eisen van het Tijdelijk besluit nummergebruik overheidstoegangsvoorziening uit 2004. "Omdat op andere manieren veiligheidsmaatregelen zijn genomen die het risico van misbruik van gegevens tot een gering risico beperken, heeft het ministerie in oktober 2016 het besluit genomen het restrisico te accepteren", aldus de Rekenkamer. De encryptie zal volgens demissionair minister Plasterk in de opvolger van DigiD worden toegepast, die naar verwachting begin 2018 zal worden uitgerold.
Inloggen
Verder vraagt de Rekenkamer ook aandacht voor het gebruik van DigiD. Van de ongeveer 250 miljoen maal dat gebruik wordt gemaakt van DigiD, is dat in 90 procent van de gevallen met een eenvoudig wachtwoord én zonder sms (tweefactorauthenticatie). "In veel gevallen is dit lage betrouwbaarheidsniveau niet conform de regels, bijvoorbeeld bij het raadplegen van fiscale of donorgegevens", schrijft de Rekenkamer. Plasterk geeft aan dat het toepassen van het juiste betrouwbaarheidsniveau de verantwoordelijkheid is van de betreffende organisatie. Eind maart 2017 is voor onder meer de studiefinanciering en toeslagen een proef gestart waarbij er met een DigiD-app ingelogd kan worden.
http://m.datanews.knack.be/ict/nieuws/ibm-bouwt-zijn-krachtigste-kwantumcomputer-tot-nu-toe/article-normal-854017.html
van de burger wordt van alles geëist, maar zelf....?
Dat was dus bijna een jaar geleden en het gaat niet beter worden als dit.
Dan heb je nog mensen die hun smartphone zowel voor het ontvangen van SMS-jes gebruiken, als voor het browsen naar hun '2FA' website. Dat is dus ook slechts 1-factor (Namelijk je smartphone, die kan namelijk ook bij je SMS-jes).
Oh interessant, hoe weten ze dat...?
Oh interessant, hoe weten ze dat...?
Ik ben totaal geen expert dus corrigeer me al ik fout zit (graag met argumenten wand daar kan ik van leren).
Is dit niet te zien via een logboek, 1 om te kijken hoe vaak er is ingelogd en 1 om te kijken hoeveel sms’jes er zijn verstuurd.
Deze gegevens zal je dan naast elkaar kunnen leggen, en dan er een conclusie uittrekken.
Bijvoorbeeld:
Er wordt 100x ingelogd en er worden 10 sms’jes gestuurd. De conclusie kan zijn, dat er dan 90% van de mensen geen sms’je krijgen als ze inloggen, en dus geen tweefactorauthenticatie gebruikt.
mvg
MD
Oh interessant, hoe weten ze dat...?
Oh interessant, hoe weten ze dat...?
Ik ben totaal geen expert dus corrigeer me al ik fout zit (graag met argumenten wand daar kan ik van leren).
Is dit niet te zien via een logboek, 1 om te kijken hoe vaak er is ingelogd en 1 om te kijken hoeveel sms’jes er zijn verstuurd.
Deze gegevens zal je dan naast elkaar kunnen leggen, en dan er een conclusie uittrekken.
Bijvoorbeeld:
Er wordt 100x ingelogd en er worden 10 sms’jes gestuurd. De conclusie kan zijn, dat er dan 90% van de mensen geen sms’je krijgen als ze inloggen, en dus geen tweefactorauthenticatie gebruikt.
mvg
MD
Ik ben ook geen expert, maar wat je schrijft klinkt logisch in mijn oren zover als het over 2FA gaat. Maar hoe weten "ze" (de rekenkamer) iets over de sterkte van wachtwoorden?
Het is een verstoring van de markt door huisjesmelkers alle opties te bieden.
Wie kan nog een woning betalen in Amsterdam.
Ik ben ook geen expert, maar wat je schrijft klinkt logisch in mijn oren zover als het over 2FA gaat. Maar hoe weten "ze" (de rekenkamer) iets over de sterkte van wachtwoorden?
Net zoals alle informatie in een onderzoek: door het te vragen aan de partij die de dienst uitvoert, Logius dus.
Het commontaar is speculatie, is emotioneel en toont gebrek aan professionaliteit. In plaats van te speculeren, zoek naar houvast. In plaats van emotioneel te worden, hou het volwassen. In plaats van amateuristisch genoegen te nemen, doe professioneel.
Vergelijk de mogelijkheden van de normen en het rapport eens:
Penetratietests periodiek uitvoeren is een norm maar er is geen uitleg wat periodiek is en hoe vaak het testen moet gebeuren. Ook de diepgang staat niet omschreven. Hoe kan er dan niet aan de norm worden voldoen? Door niet te voldoen aan ongeschreven eisen van de inspecteurs? Door nooit een test te hebben gehouden? Door wel regelmatig tests uit te voeren maar niet periodiek?
De normen over versleuteling zijn 1 sleutels niet onversleuteld op de servers . 2 alleen HTTPS verbindingen 3 gevoelige gegevens versleuteld of hashed opslaan 4 versleutel cookies. Welke van deze normen niet volledig is gehaald is onbekend. Misschien had een cookie niet de juiste flag. Misschien was een sleutel wel versleuteld maar vond de inspecteur de sterkte van de versleuteling net niet sterk genoeg? Had de inspecteur misschien een andere mening over gevoelige gegevens die versleuteld moeten worden? Werd HTTPS wel toegepast maar was deze zwakker om ook met oudere ondersteunde browsers nog te kunnen inloggen?
Norm voor logging: voer actief controle uit op logging. Er niet naar kijken is passief. Maar wanneer is het actief genoeg? Was er geen controle? Werd er 1x per dag controle gehouden maar ging dat niet diep genoeg? Werd er maar 1x per week controle gehouden maar wel met diepgang?
Omdat er te veel mogelijkheden zijn en te weinig duidelijkheid kan je je ook inhouden om meteen te reageren en vragen om verduidelijking van de Algemene Rekenkamer. Een rapport is niet veel waard als de onderbouwing niet valt te controleren.
Ik ben ook geen expert, maar wat je schrijft klinkt logisch in mijn oren zover als het over 2FA gaat. Maar hoe weten "ze" (de rekenkamer) iets over de sterkte van wachtwoorden?
Net zoals alle informatie in een onderzoek: door het te vragen aan de partij die de dienst uitvoert, Logius dus.
Ik mag aannemen dat ze mijn wachtwoord niet zomaar opslaan zonder deze te versleutelen, dus dan rest de vraag hoe ze hierbij kunnen voor een dergelijk onderzoek?
Het commontaar is speculatie, is emotioneel en toont gebrek aan professionaliteit. In plaats van te speculeren, zoek naar houvast. In plaats van emotioneel te worden, hou het volwassen. In plaats van amateuristisch genoegen te nemen, doe professioneel.
Vergelijk de mogelijkheden van de normen en het rapport eens:
Penetratietests periodiek uitvoeren is een norm maar er is geen uitleg wat periodiek is en hoe vaak het testen moet gebeuren. Ook de diepgang staat niet omschreven. Hoe kan er dan niet aan de norm worden voldoen? Door niet te voldoen aan ongeschreven eisen van de inspecteurs? Door nooit een test te hebben gehouden? Door wel regelmatig tests uit te voeren maar niet periodiek?
De normen over versleuteling zijn 1 sleutels niet onversleuteld op de servers . 2 alleen HTTPS verbindingen 3 gevoelige gegevens versleuteld of hashed opslaan 4 versleutel cookies. Welke van deze normen niet volledig is gehaald is onbekend. Misschien had een cookie niet de juiste flag. Misschien was een sleutel wel versleuteld maar vond de inspecteur de sterkte van de versleuteling net niet sterk genoeg? Had de inspecteur misschien een andere mening over gevoelige gegevens die versleuteld moeten worden? Werd HTTPS wel toegepast maar was deze zwakker om ook met oudere ondersteunde browsers nog te kunnen inloggen?
Norm voor logging: voer actief controle uit op logging. Er niet naar kijken is passief. Maar wanneer is het actief genoeg? Was er geen controle? Werd er 1x per dag controle gehouden maar ging dat niet diep genoeg? Werd er maar 1x per week controle gehouden maar wel met diepgang?
Omdat er te veel mogelijkheden zijn en te weinig duidelijkheid kan je je ook inhouden om meteen te reageren en vragen om verduidelijking van de Algemene Rekenkamer. Een rapport is niet veel waard als de onderbouwing niet valt te controleren.
De enige zinvolle tekst op deze pagina!!! :)
"De minister van BZK heeft in 2016 acties ondernomen om deze beveiligingsrisico’s weg te
nemen. In mei 2016 is door middel van een onafhankelijke audit bevestigd dat voldoende
maatregelen zijn getroffen."
Verder is het mij compleet onduidelijk welke encryptie er niet op orde is en wat er dan aan scheelt!
Dat was dus bijna een jaar geleden en het gaat niet beter worden als dit.
Dan heb je nog mensen die hun smartphone zowel voor het ontvangen van SMS-jes gebruiken, als voor het browsen naar hun '2FA' website. Dat is dus ook slechts 1-factor (Namelijk je smartphone, die kan namelijk ook bij je SMS-jes).
Zowel DigiD als de opvolger Idensys gebruiken SMS. Maar onze oosterburen laten zien dat dit niet echt veilig meer is.
https://www.helpnetsecurity.com/2017/05/19/ss7-security-issues/
Hoezo 'verplicht'? Ik heb ook geen DigiD en ben beslist geen digibeet. Juist omdat ik in de ICT werk en daarom de beveiliging van onze overheid niet vertrouw heb ik het niet. Onderzoek toont steeds weer aan dat ik terecht geen vertrouwen heb. Dus wie is hier nu de digibeet?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?