Een voorstel van de Europese Commissie voor de invoering van een Europese digitale identiteit waarmee burgers zich in de gehele Europese Unie kunnen identificeren vormt een bedreiging voor de https-beveiliging van browsers, zo waarschuwt de Amerikaanse burgerrechtenbeweging EFF.

Als onderdeel van het voorstel worden browserleveranciers verplicht om door Europese overheden aangewezen Certificate Authorities (CAs) te vertrouwen, zonder enige veiligheidsgaranties, aldus de EFF. Certificaatautoriteiten geven de certificaten uit die worden gebruikt voor het opzetten van https-verbindingen en identificeren van websites. Wanneer browserleveranciers worden verplicht om onbetrouwbare, onveilige of onvoorzichtige derde partijen als CA toe te voegen, kan dit de veiligheid van https ondermijnen, zo stelt de burgerrechtenbeweging.

Deze partijen zouden certificaten kunnen uitgeven waarmee internetgebruikers worden bespioneerd, zo waarschuwt de EFF. Normaliter staan browserleveranciers alleen certificaatautoriteiten toe die aan bepaalde eisen voldoen. In het voorstel van de Europese Commissie staan geen garanties dat CAs aan de veiligheidseisen van de browserleverancier moeten voldoen, ontbreken manieren om bezwaar te maken tegen het toevoegen van deze partijen en is er geen verplichte transparantie.

"Wanneer browsers geen certificaatautoriteit kunnen intrekken die niet aan hun standaarden voldoet, zullen ze minder snel op beveiligingsincidenten kunnen reageren", aldus de Amerikaanse burgerrechtenbeweging. Ook zou het voorstel overheden kunnen verleiden om man-in-the-middle-aanvallen op hun burgers uit te voeren, waarbij naar eerdere pogingen van de Kazachstaanse overheid wordt gewezen.

"Indien aangenomen zal het amendement ervoor zorgen dat de veiligheidswinst waarvoor zovelen het afgelopen decennium zo hard hebben gewerkt, wordt teruggedraaid", besluit de EFF. Die roept op om de voorgestelde eisen voor browserleveranciers te laten vallen. Eerder liet het Nederlandse demissionaire kabinet weten positief te zijn over de invoering van een Europese identiteit, alsmede de eisen voor browserleveranciers.

"Hiermee wordt de afhankelijkheid van browsers voor gebruikers beperkt en wordt eventuele onzekerheid over de betrouwbaarheid van websites weggehaald als ze voldoen aan de Europese standaarden", aldus het kabinet.