Knops: geen nieuwe risico's door apps die paspoortchip uitlezen
De komst van smartphone-apps die via NFC de chip van het paspoort kunnen uitlezen zorgt niet voor nieuwe risico's, zo heeft minister Knops van Binnenlandse Zaken op vragen van D66 laten weten. Aanleiding voor de vragen van D66-Kamerlid Kees Verhoeven aan Knops was een artikel in het FD over smartphone-apps die via NFC de paspoortchip uitlezen.
Verschillende partijen waarschuwden in het FD dat apps om de paspoortchip uit te lezen een risico voor identiteitsfraude vormen. De apps hoeven daarnaast niet gecertificeerd te worden. "Het bestaan van deze telefoonapps introduceert echter geen nieuwe risico's. Bij het uitlezen van de chip zijn dezelfde persoonsgegevens zichtbaar als bij het tonen van een paspoort of het verstrekken van een kopie", antwoordt de minister.
Volgens Knops moet er bij het verstrekken van informatie uit een paspoort goed worden opgelet aan wie die informatie wordt verstrekt en waarom. "Dit is ongeacht of het paspoort wordt getoond, gekopieerd of gescand", voegt de minister toe. Daarnaast kan de paspoortchip alleen worden uitgelezen met behulp van een sleutel op basis van de machineleesbare strook (MRZ).
Deze sleutel is alleen te raadplegen wanneer de MRZ zichtbaar is. Hiermee wordt volgens de minister voorkomen dat de paspoortchip door ieder willekeurig persoon van een afstand kunnen worden uitgelezen. De in de paspoortchip opgeslagen vingerafdrukken zijn daarnaast niet door de smartphone-apps uit te lezen, aangezien die extra zijn versleuteld.
Knops waarschuwt wel dat de app-makers over de paspoortgegevens van hun gebruikers kunnen beschikken. "Net als met iedere andere app bestaat er een mogelijkheid dat de maker een database opbouwt met informatie over personen die de app gebruiken. In geval van kwaadwillenden zou dit kunnen leiden tot identiteitsfraude." Toch ziet de minister certificering van dergelijke apps niet zitten, omdat dit voor extra administratieve lasten zorgt die niet in verhouding staan tot het risico, aldus Knops.
QR-code
De minister ging ook nog in op de uitspraak dat het plaatsen van een QR-code op het paspoort de kans op identiteitsdiefstal vergroot. Het BSN zal over twee jaar ook als QR-code op paspoorten en identiteitskaarten worden opgeslagen. Volgens sommigen zou dit de kans op id-diefstal vergroten, aangezien een QR-code eenvoudiger te vervalsen is dan een chip. De QR-code is volgens Knops zelf geen echtheidskenmerk, maar wel onderdeel van een identiteitskaart of een paspoort met meerdere echtheidskenmerken.
"Op het moment dat de QR-code wordt vervalst of gemanipuleerd komt de uitgelezen informatie niet meer overeen met de informatie op het paspoort of de identiteitskaart. Daarom ben ik het niet eens met de uitspraak dat de QR-code de kans op identiteitsdiefstal vergroot omdat een QR-code makkelijker te vervalsen is dan een chip", aldus het antwoord van de minister.
Het fundamentele probleem dat de verwerker een goede controle hoort uit te voeren is niet aangepakt.
Zo blijft het gewoon massaal op de bekende wijze fout gaan met heel verkeerd de schade voor de slachtoffers.
of een QR code of digitaal uitleesbare chip nou veiliger is is inherent een vestzak broekzak beschouwing.
Voor de ene zal een QR code veiliger lijken dan een NFC-chip,
Veiliger is om die niet te gebruiken.
Eventueel wel een identificatie middel dat statisch en analoog-veilig,
dat geen digitale elementen bevat en dat niet bedoelt is om gegevens in digitale omgeving mee toe te kunnen voegen danwel te veranderen.
Het aantal misbruikte gevallen met QR-codes EN NFC-chips wijst sindsdien ook uit dat beide methoden daadwerkelijk deze risico's hebben.
Men lijkt bewust of onbewust om de daadwerkelijke veiligheidsrisico's volgens de industrie zelf heen te delibereren.
Ze maken er op onderdelen een relatieve discussie van.
"Het bestaan van deze telefoonapps introduceert echter geen nieuwe risico's.
Bij het uitlezen van de chip zijn dezelfde persoonsgegevens zichtbaar als bij het tonen van een paspoort of het verstrekken van een kopie", antwoordt de minister."
Hij vergeet hierbij voor zijn gemak en voor onze geruststelling te vermelden dat het digitaal inlezen en kopiëren het pad is dat per definitie de laagste weerstand tegen inbreuken heeft.
Het is dus per definitie in absolute zin onveiliger dan paspoorten zelf.
Met paspoorten hoort een burger/gebruiker vanuit de afspraken van de paspoortwet nog altijd te kunnen kiezen voor een variant ZONDER een chip erin.
En dus geen paspoort waar met eventueel opt-out of uitgeschakelde chip. Gewoon geen chip.
Persoonsgegevens langs digitale weg uitlezen zijn dus per definitie SNELLER en EERDER te misbruiken dan via een paspoort ZONDER chip.
Zeker naarmaate digitale apparaten sneller zijn geworden en nog weer sneller worden.
De vergelijking die de minister maakt met paspoorten is dus per definitie oneigenlijk, onjuist of onvolledig!
En dan voor het nut van de risico-verkenning zoals de minister die hanteert;
of er evengoed wel sprake kan zijn van meer en/of eerder optreden van de(zelfde) risico's c.q. dat de omvang van verspreiden van het risico groter kan worden (ook eventueel dan vandaag de dag beschouwd wordt) lijkt niet duidelijk door de minister weerlegt.
De middellen moeten wel langdurig veilig zijn, net als een wet langdurig houdbaar moet zijn.
Smartphones zijn al vaak meervoudig binnen 5 jaar (blijvend) onveilig, dus welke vergelijking maakt de minister nu?
Een van koetjes en kalfjes??
Het fundamentele probleem dat de verwerker een goede controle hoort uit te voeren is niet aangepakt.
Volgens mij is het fundamentele probleem dat de werkelijkheid een stuk rommeliger is dan je hem op papier bedenkt en dat je dit soort situaties helemaal niet te voorkomen zijn. Maar als je hier goede, praktisch uitvoerbare ideeën voor hebt dan hoor ik ze graag.
En daarom moeten deze apps worden verboden. Want de overheid behoort de zwakkeren te beschermen.
Zodat de sukkels op deze aarde geen mogelijkheid krijgen om voor de fun eens zo'n app te installeren om er hun eigen paspoort mee uit te lezen. Niet wetende dat deze app er voor zorgt dat de uitgelezen persoonsgegevens keurig worden verstuurd naar de maker of uitbater van de app, die zodoende stiekem via internet je paspoortgegevens krijgt toegestuurd
die van de paspoortchip zijn uitgelezen.
(een slimme programmeur bouwt overigens een vertraging in waarmee deze persoonsgegevens niet onmiddellijk worden verstuurd maar bijv. de volgende dag, d.w.z. wanneer men er niet alert op is zodat het niet wordt opgemerkt)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
