Ja, doe je het niet, willen ze volgend jaar opheldering over waarom het niet gebeurt is en er schade is. Altijd lachen met die politici.

Ik kan nog steeds geen webauthn of OTP gebruiken...
Digid app is niet beschikbaar.

Tss, wel SMS uit faseren, maar geen veilig alternatief bieden zoals TOTP of hardware tokens.

DigiD app is een stuk spyware die ik weiger te gebruiken: https://reports.exodus-privacy.eu.org/en/reports/362455/

Eerst alle trackers eruit, DigiD als vrije opensource software beschikbaar maken, onafhankelijk van Google/Apple.

Ik begrijp niet goed waarom er niet gekozen wordt voor een hardware token. Er is natuurlijk zeker een casus te maken voor het niet langer gebruiken van SMS voor 2FA (al vraag ik me serieus af of het echt een enorm gevaar is; is het echt noodzakelijk dat DigiD zo veilig is dat SMS niet langer afdoende is?).

Het probleem is dat er dan maar twee alternatieven overblijven: Geen DigiD en alles op papier, of die app installeren.
Terug naar papier is niet een realistische optie te noemen, er zijn ondertussen teveel zaken waarvoor het noodzakelijk is. Niet alleen voor belastingaangifte, maar ook voor de verplichte zorgverzekering of het maken van een afspraak bij de gemeente.

Blijft dus als enig reeel alternatief over die app. Als je accepteert dat de overheid het hebben en gebruiken van DigiD de facto afdwingt, dan zit je met een vervelende situatie. Niet alleen voor mensen (veelal ouderen) die geen smartphone hebben maar ook mensen die het niet willen of er geen kunnen betalen, zoals mensen met problematische schulden. Verder heb je dan nog het probleem dat de overheid je de facto dwingt om akkoord te gaan met de voorwaarden van grote Amerikaanse, Koreaanse of Chineze techreuzen. Ja natuurlijk, theoretisch is het mogelijk een smartphone te hebben en daar zelf een ander OS op te installeren etc etc etc, maar dat is niet in allle redelijkheid een realistische mogelijkheid te noemen voor normale gebruikers.

We zouden het ook niet acceptabel vinden als de belastingdienst, het RDW of de gemeente alleen "Inloggen met Facebook" als optie geeft, dus waarom accepteren we het wel als ze alleen de optie "Inloggen met device van Google of Apple" geven?

Een hardware token, voor mensen die daar behoefte aan hebben en op aanvraag bij de gemeente of zo te verkrijgen, zou al die problemen oplossen. Wil je de app gebruiken? Super, ga je gang. Wil of kan je dat niet? Vraag bij je gemeente een token aan en je krijgt er een. Kan SMS uit, en heeft iedereen een werkende oplossing. Zo duur zijn enkele tienduizenden van die tokens nou ook weer niet.

Dat "aansluitpunt" is toch helemaal het probleem niet?? Snappen die politici dan helemaal niets?

@Reinder: dank voor je reactie, je brengt goed onder woorden waar de schoen wringt.

Waar ik me persoonlijk aan erger is dat mensen die geen smartphone hebben steeds in de hoek van "niet digitaal vaardig" worden gezet, wat impliceert dat de oplossing is dat ze daar hulp bij nodig hebben.

Ik heb een loopbaan als automatiseerder achter de rug, ik begrijp beter dan de meeste mensen wat een computer eigenlijk is. Bepaalde praktische vaardigheden met bijvoorbeeld het bedienen van smartphones heb ik niet, omdat ik, juist omdat ik snap wat voor soort dingen er kunnen gebeuren, er liever niet aan begin. Ik twijfel er niet aan dat het me niet veel moeite zou kosten om zo'n ding te leren gebruiken. Het is geen gebrek aan vaardigheden.

Of misschien toch wel. Er is heel wat aan een smartphone dat ik moeilijk te beoordelen vind. Hoeveel data verzamelt de maker van het OS over me, zonder dat ik daar iets aan kan doen? Hoeveel data verzamelt (als dat een ander is) de hardwarefabrikant over me? Hoe goed werkt de vingerafdruklezer van een bepaald model nou echt? Ik weet dat er smartphones op de markt zijn verschenen waar vrolijk vingerafdrukken van anderen werden geaccepteerd. Hoe weet ik of dat goed zit voor ik daar mijn DigiD en banksaldi aan toevertrouw? Is wat ik koop van een van de merken waar vanuit de fabriek al malware op stond? Die fabrikanten zijn niet gepubliceerd, alleen dat het speelt. Hoe lang krijgt het model nog security updates? Kan ik daarna een ander OS installeren? Is dat OS, bijvoorbeeld e/OS, al zo ver dat alle bank- en overheids-apps er goed op draaien, de apps die me dwingen een smartphone te gebruiken dus?

Er is ontzettend veel wat ik niet weet en niet goed weet te beoordelen. Je kan dus zeggen dat ik inderdaad een gebrek aan vaardigheden heb. Alleen denk ik dat de meeste mensen die die dingen wel gewoon gebruiken die vaardigheden nog veel minder hebben dan ik, en het ding toch gebruiken. Ik zit in de ongemakkelijke positie dat ik genoeg weet om te weten dat ik ongelofelijk veel niet weet, en ik heb geen zin om dat allemaal te gaan uit te pluizen om een goede keuze te kunnen maken.

En Apple dan? Daar heb ik ook geen geweldige indruk van. Een goede vriend van me heeft op een gegeven moment een iPhone geprobeerd. Hij is net als ik iemand die het helemaal niet wil dat alles via de cloud loopt. Voor die iPhone betekende dat dat hij voortdurend in gevecht was met een ontwerp dat helemaal gebaseerd is op het uitgangspunt dat alles wél vanzelfsprekend via de cloud gaat. Er zijn ongetwijfeld manieren om dat te omzeilen, maar daar moet je dan wel induiken, er een studie van maken, ertegen vechten zelfs.

En dat is het probleem. Het gaat hier om een tweede factor voor DigiD (en voor banken, want die gaan ook die kant op). Waarom moet dat me zoveel inspanning opleveren? Laat de overheid inderdaad liever met een hardwaretoken komen waarvan zij hebben uitgezocht dat het deugt. Ik ben nog bereid er leges voor te betalen ook.

Maar nog beter zou het zijn als onze overheid, in plaats van een corporate pet op te zetten en alles aan marktpartijen over te laten, actief had gewerkt aan een FIDO2-achtige opzet die voldoet aan de hoogste eisen die overheden eraan stellen. Kijk waar wat die al hebben ontwikkeld voor voldoet, en ontwikkel zo nodig samen met ze een uitbreiding van de standaards die dekt wat nog ontbreekt. Dan kan je dat straks bij Yubico en vast nog wel meer leveranciers aanschaffen, en idealiter gebruiken voor meer dan alleen de overheid. Onze overheid heeft wel open standaards en zelfs open source op allerlei terreinen tot beleid verheven, maar geeft bij dit onderwerp geen blijk van enige visie op wat je met open standaards kan bereiken. In de praktijk grijpen ze naar wat marktpartijen aandragen en dringen ze de afhankelijkheid daarvan liever aan elke burger op dan dat ze juist onafhankelijkheid ervan nastreven. Jammer. Heel jammer.

Daarom zijn ze nu net de politiek in gegaan.
Luister naar de partij-leiding en zet het verstand op 0.

Coalitie en gecontroleerde oppositie zijn altijd onderdeel van een en hetzelfde systeem. Maak je geen enkele illusie.

Ik zie niet in waarom sms-controle moet verdwijnen.
Mijn stoffige Nokia heeft geen enkele connectie met mijn thuisnetwerk/modem, dus volledig gescheiden van elkaar.
In deze situatie is een sms als 2FA hartstikke veilig, lijkt me zo.

Dat is het tegenwoordig wel, kijk bijvoorbeeld op murena.com . Daar worden Android toestellen verkocht (oa. Fairphone 4) met /e/OS voorgeïnstalleerd. Dat is een Android smartphone minus alles van Google, met 'Advanced Privacy' instellingen zoals een nep IP-adres of neplocatie, automatische blokkades van trackers in Apps en meer. Het downloaden van apps bij Google Play kan anoniem.
Het privacy vriendelijke OS kan je gratis downloaden vanaf https://e.foundation/get-started , met een gemakkelijke installer, voor nu zo'n 227 verschillende toestellen.

Het zal niet iedere oudere helpen omdat je voor smartphones paranormaal begaafd moet zijn (de bediening van de GUI's zijn altijd erg onduidelijk, je moet steeds ergens in het niets swipen en dan gebeurt er weer eens wat).
En het zal ook niet iedere armere in de schuldverlening helpen, dat is helaas niet uniek voor smartphones.
Maar het verlaagt allicht de drempel voor het gebruik van een privacy-vriendelijke telefoon, waarmee de DigiD-app op een acceptabele manier te gebruiken is.

Nouja, tot iemand moeite gaat doen om je nummer te kapen, zie de "sim-swap" verhalen.
Echter, (net als jij waarschijnlijk) ik acht de kans niet groot dat iemand dat gaat doen om toegang te krijgen tot mijn DigiD.
(ik heb mijn "sms controle" overigens niet aan een mobiel maar aan een vast nummer gekoppeld, echter daar speelt
exact hetzelfde bij)

We hebben net een ander artikel over een sim-swap (telefoonnummer omgezet naar andere sim, voor het stelen van crypto's omdat de password-reset via SMS werkte ).

Je moet als threat-model niet alleen maar denken aan het aanvallen via jouw fysieke device.

Het einde van het GSM netwerk is gepland voor 2025,
dus een oude Nokia met GSM SMS functie stopt daarmee helaas ook.
Zoekterm: 'GSM Sunset'.

Wacht, de gebruikersnaam+wachtwoord+sms combinatie gaat weg?

Dan kan ik dus niet meer inloggen.
En dus geen belasting betalen.

Prima. Vind ik niet erg.
Is hun probleem.

De anti-smartphone brigade laat natuurlijk ook weer van zich horen. Als je bang bent dat Google teveel data over je verzamelt kun je een de-Googled custom rom installeren.

Meestal zijn het dezelfde personen die een goed versleutelde app om te communiceren niet vertrouwen en dan het volledig onversleutelde "gewoon" bellen en sms gebruiken.

Is een eenmalige code via SMS geen OTP?

M.b.t. WebAuthn: zie het volgende antwoord.

Omdat, tenzij ze door de overheid worden "vóór-ingevuld" (da's gedoe), zo'n token niet bij voorbaat bewijst dat jij jij bent. Net zoals een TOTP-code en een Passkey dat niet doen.

Al die "naamloze" authenticatoren bieden pas (aanvullende) bescherming de keren dat je inlogt nadat zij zijn gekoppeld. Totdat je er één kwijtraakt - of een identiteitsfraudeur (die jouw user-ID en wachtwoord kent) claimt dat hij jij is en die tweede factor is kwijtgeraakt.

Omdat criminelen SIM-swap-aanvallen (https://security.nl/posting/798595) en SS7-attacks uitvoeren (Duitstalig: https://www.heise.de/news/Schweiz-Lokalpolitiker-der-Piraten-betreibt-Firma-fuer-globale-Handy-Spionage-9010228.html).

OTP via SMS kan overigens een stuk veiliger: https://security.nl/posting/638979.

Ik wil die app niet om twee veel belangrijker redenen:

• Ik vind smartphones te onveilig om mijn paspoort daarop in te lezen;

• Ik wil niet meewerken aan de extreme digitalisering die miljoenen Nederlanders boven de pet gaat. En die, als zij toch zwichten, hun kans om slachtoffer van identiteitsfraude te worden, enorm vergroot - zonder dat iemand dan een poot uitsteekt om te helpen (integendeel, veel reageerders op security.nl vragen zich dan hardop af hoe zij zo "stom" kunnen zijn om ergens in te trappen).

Over welke reactie heb je het hier? Uit de enige reactie waarin iemand te kennen geeft dat, en waarom die zelf geen smartphone heeft, blijkt dat dat niet direct voortkomt vanuit een wantrouwen jegens Google: er wordt letterlijk de vraag opgeworpen of e/OS een plausibele optie zou zijn. Correct me if I'm wrong, maar wanneer je het hebt over een de-Googled custom rom, dan klinkt dat alsof je het hebt over het rooten van de smartphone, om er vervolgens Android op te draaien ontdaan van alle bloatware e.d. - je kunt toch op je klompen aanvoelen dat banken dergelijke praktijken zullen ontmoedigen, en het zullen aangrijpen om zich elke vorm van aansprakelijkheid op de klant af te schuiven?

Seriously, je unlockt de bootloader, je draait stock Android waarbij je als consument alsnog op zoek zult moeten gaan naar betrouwbare drivers om specifieke architectuur van je smartphone op de juiste manier aan te sturen (zoals al wordt genoemd roept dat vragen op als: welke toestellen zijn voorzien van degelijk geimplementeerde security-features, en welke fabrikanten zou iedereen moeten mijden... aangezien er zelfs gevallen zijn waarin men het doet voorkomen alsof er sprake is van hardware die een vingerafdruk kan scannen, terwijl de mogelijkheid om in te loggen met andere vingerafdrukken bijna doet vermoeden dat helemaal niet gescand wordt, en er sprake is van een softwarematig stukje security-theatre...

Ik heb zelf een niet ge-root Samsung Galaxy-toestel, draai keurig de verouderde Android-update die daar het laatst voor is uitgerold, en ben al weken aan het gissen hoe ik in godsnaam een doodsimpel lijstje van actieve netwerk-verbindingen op mijn scherm moet toveren... het schijnt dat packetsniffers en het monitoren en loggen van traffic op een ge-root toestel wel relatief simpel aan de praat zijn te krijgen, maar tsja, het is mij ook allang duidelijk hoe snel het alweer onduidelijk kan zijn op Android op een smartphone, om te zien of evt. firewall, VPN, etc...werkt zoals je bedoelde. Na ruim 40 jaar ervaring met de meest uiteenlopende computersystemen en netwerkconfiguraties heb ikzelf in ieder geval niet genoeg kennis en vaardigheden in huis om een smartphone zodanig te installeren dat ik kan instaan voor de beveiliging, en ik heb vooralsnog niet 1 consument gevonden die daadwerkelijk enig besef heeft van waar hun smartphone allemaal mee bezig is. Keer op keer blijkt de beveiliging makkelijker te omzeilen dan dat daarvoor de meest essentieele instellingen terug te vinden zijn. Nee, ik zie de-Googled custom roms eerder als de garantie dat zo'n consument de beveiliging dan al helemaaaaaal niet meer onder controle zal kunnen krijgen en houden.

Grondreden is dat je overal op Android 'leeggetrokken' wordt van jouw data.
Doet Google het niet, doet de overheid en de diensten (zogenaamde meerdere ' eyes' ) het wel.

Het is en was nu eenmaal de politiek, dus CDA en VVD, die ons hiertegen zouden moeten beschermen
Of dit als custodians zouden moeten doen. Ze zijn echter onderdeel van het systeem,
dus van het probleem.


Groot commercie is hun baas en internationale lobbies bepalen wat hun leiding hun moet adviseren.
De bevolking en de achterban is alleen maar lastig en loopt vaak nog in de weg.

Overheid en MP bij de toeslagen-affaire hebben bewezen dat hun directieven van elders komen.

Groningers krijgen als doekje voor het bloeden twee spoorlijntjes recompensatie.
Alles afbreken door 'op de handen te blijven zitten' en achteraf de schuldvraag bij de eigen bevolking neerleggen.
U bent hun probleem. Feitelijk dient u te worden uitgefaseerd en vervangen.

De corona periode was een leuke oefenfase voor de beleidsmakers
om te zien hoe ver men kon gaan met de eigen bevolking.

#2-FA

Moet je niet doen, zij gebruiken dit volgens mij om iedereen aan de smartphone te krijgen, de meeste
mensen vinden het niet prettig om als dom te worden gezien of in dit geval niet digitaal vaardig te zijn.
Begrijp wel dat dit van een overheid komt die zelf zijn digitale vaardigheden niet op orden heeft. Als ik
een sms code krijg van DigID op mijn iPhone dan hoef ik niet in te loggen om deze te zien, het is gemakkelijk
om voor die code een tekst in te geven zodat dit niet is.

De grote vragen voor mij zijn:

als SMS nu werkelijk zo onvelig is, waarom dat niet wordt opgelost;

waarom er geen app(licatie) daarvoor te downloaden is op de website van de overheid,
die dan te gebruiken is onder macOS of WIndows of Linux/Unix op je computer.

Gedachtengoed dat ik al in 2010 heb gelanceerd.
Ik was toen ambtenaar.
Overigens heb ik dit in diverse draadjes meerdere keren verwoord.

Situatie
De overheid geeft plastiekjes aan personen uit (paspoort, ID bewijs, Rijbewijs, kentekenbewijs, verblijfsvergunning, etc).
Plaats op al dat soort plastiekjes een chip met daarin een PKI-Overheid certificaat. Dat is zelfs eIDAS hoog betrouwbaar.
Daarmee heeft iedereen zonder noemenswaardige kosten één of meer hardware tokens waarmee iemand zich bij de overheid kan authentiseren.

Kosten:
- Chip op een pasje : ik denk 2 Euro (en dan zit ik hoog)
- PKIo CA en VA. De structuur is er al. Maar laten we zeggen: 1 MEuro. Verdeeld over 20 miljoen pasjes (schatting) maakt 5 cent per pasje
- Uitgifteproces RA: dat is er al. Immers de pasjes worden al uitgegeven.
- Additionele activatie/pinbrief: schatting 1 Euro.

Waarom is dit er niet al?
- omdat toen DigID al operationeel was (en die mensen willen niet bewegen.
- omdat toen eHerkenning in opbouw was. En dat project moest doorgaan (belangen). Dat project was/is ook ene verdienmodel voor het bedrijfsleven.

Nu in tijden van EDI Wallet.
Dat is Europees uitgedacht. Dat moet doorgaan.
Alleen: dat sluit mensen uit die
- het niet vertrouwen
- principieel niet willen
- niet kunnen

Hoe weet jij dan dat er niet met het OS is gerommeld?

Ik had een telefoon nodig voor sms berichten en deze niet in een bekende telefoon winkel gekocht dit was
een Nokia maar ik heb deze aan en uitgezet en weggedaan want ik vertrouwde het voor geen meter, dertig
euro’s minder maar wel een beter gevoel. Daarom deze vraag.

Dat heet onboarding. Ook voor DigiD heb ik ooit dat proces doorlopen: aanvraag DigiD account via web, daarna een brief thuis ontvangen met een activeringscode, daarna op web ingevoerd en een account aangemaakt. Daarna zou je bijvoorbeeld TOTP kunnen koppelen aan het account. Bij vergeten van password of TOTP gewoon dit proces van scratch weer doorlopen.

Eventueel zou de brief vervangen kunnen worden door een fysiek bezoek aan het gemeentehuis waarbij je aan de balie op vertoon van een ID bewijs pas het account kunt activeren. Dat is minstens zo goed op deze manier te regelen dan via de DigiD app (want bij mijn weten is het daar niet nodig (voor veiligheidsniveau "Substantieel" om je ID via NFC te koppelen (en hoe veilig is deze connectie? Is deze te faken? Hoe is deze cryptografisch beveiligd? Met welke keys? Etc)).

Een derde reden die voor mij , naast bovenstaande redenen geldt, is dat je eigenlijk verplicht een Apple/Google account moet hebben. Deze heb ik niet en wil ik niet, ik draai dan ook een custom open source OS op mijn telefoon. Ik zou dan via andere app stores wellicht de DigiD app kunnen installeren, waarbij die app stores dan als en soort MitM fungeren, maar ik kan dan niet end to end controleren of de app wel integer is. Dus voor applicaties waarmee ik dit soort kritieke zaken moet afhandelen bewander ik deze route niet (om dezelfde reden heb ik geen bankieren apps op mijn telefoon).

Verder zitten al deze apps vol met trackers. Ik kan die wel blokkeren (maar na een update staan ze soms toch weer aan heb ik bij andere apps gemerkt), maar vindt dat toch wel een dingetje.

Tenslotte vind ik het zeer ergerlijk dat ik voor elke partij een separate app moet hebben. Ik heb 1 open source TOTP app op de telefoon: dat is mijn MFA app. Als een partij mij wil forceren om de app van die organisatie te moeten gebruiken dan doe ik dat in de regel niet. Er zijn partijen die dat proberen te forceren door niet te voldoen aan de TOTP RFC (bijv. Microsoft), maar dan gebruik ik of een andere manier van 2FA authenticeren (bijv. SMS) of gebruik ik de applicatie niet.

Met als groot verschil dat bij een vast nummer je toegang locatiegebonden is. Ik zie het als een soort geofencing.
Dit geldt overigens meer voor echt analoge abonnementen als voor VoIP. Ik heb (voorlopig) nog zo'n oud koper abonnement omdat hier nog geen glasvezel aangelegd is. Mijn telefoon blijft werken als mijn internet uitgevallen is ;-)

Die geclaimde "onveiligheid" van SMS is niet op te lossen door DigiD. Die ligt voornamelijk in de procedures rond
het overnemen van telefoonnummers. Het protocol zelf wordt ook "te kraken" genoemd maar dat is allemaal puur
theoretisch, in de praktijk kun je daar als "aanvaller" niets mee.


Een applicatie waarvoor?

Dit heeft men in Belgie al jaren, maar ik begreep dat het in Nederland ook komt.
Alleen het probleem met die oplossing is dat de implementatie hiervan dan toch weer via een smartphone met app gaat,
omdat dit de meest beschikbare vorm is van een draadloze chip lezer met communicatiemogelijkheid naar internet.
Je zou in theorie een apart device uit kunnen brengen wat dit dan regelt, zeg maar zo iets als de identifiers die banken
gebruiken, maar dat wordt dan ook weer een heel gedoe voor de mensen om te configureren. Je WiFi erop zetten enzo.

Het probleem met dat soort methodes is dat er een voortdurende druk is om dat "gemakkelijker" te maken, goedkoper, en minder tijdrovend. Zowel voor de gebruiker als voor de uitgevende instantie.
Als je voor je DigiD naar het gemeentehuis zou moeten zouden sociale media overstromen met klachten daarover, zeker rond de data dat die vaak nodig is (zoals tegen einddatum van belastingaangifte, of tegen eind van het jaar voor ziektekosten verzekering toestanden).
Je zult mensen hebben die uit hun slof schieten omdat ze op 31 december willen inloggen bij hun ziektekostenverzekeraar maar dit niet kunnen omdat er iets met hun DigiD is en ze eerst langs het gemeentehuis moeten.

Je ziet in minder gereguleerde instanties al hoe dat uitpakt. Toen ik telebankieren nam was de procedure ook nog met een brief. Maar op een gegeven moment kwam er een enthousiast bericht dat ze dit nu makkelijker gemaakt hadden, je kon je wachtwoord nu ook per SMS krijgen als je het vergeten was!!! SMS naar hetzelfde nummer als waar de 2nd factor codes heen gestuurd werden! Jippie allemaal veel gemakkelijker!
(de mensen die dat soort dingen bedenken worden niet gehinderd door inzicht maar zitten wel aan de knoppen)

Je vraagt je af waarom er zoveel senioren telefoons verkocht worden.

Daar heb je, zoals meestal het geval, een heel goed punt, echter:
1) Is dat echt de daadwerkelijke reden? Het is waar wat je zegt, maar is dat de reden? Met andere woorden, is het overwogen maar vervolgens om deze reden niet uitgevoerd? Ik twijfel daar ernstig aan.
2) Als je iemand zo'n token laat ophalen bij de gemeente waar dan na een controle op identiteit het token gekoppeld wordt dan denk ik dat het een veiliger alternatief is dan het gebruik van SMS.
3) Het probleem van het kwijtraken van tokens is niet uniek voor tokens. Bij het verlies van het token moet een kwaadwillende nog steeds zoals je terecht zei de username en wachtwoord kennen. Bij het verlies van de telefoon met digid-app moet de kwaadwillende de unlockcode van de telefoon en de pincode van de digid-app weten (die in sommige gevallen hetzelfde zal zijn). Beide methodes bieden "afdoende" bescherming tegen verlies, en onvoldoende tegen vastberaden kwaadwillenden, waartegen het sowieso moeilijk beschermen is.
4) Laten we ook niet overdrijven, het systeem hoeft niet de nucleaire lanceercodes te beveiligen. De beveiliging moet afdoende zijn voor het doel. Ik denk dat een bij de gemeente af te halen token daarin ruimschoots voorziet.

je bent grappig hoor... vwb privacy zijn google en apple duidelijk een issue, op een grote maatschappelijke schaal, maar omdat er een persoon zijn sms onderschept zou kunnen worden [duidelijk veel minder een issue] moet iedereen maar in de massa surveillance?

Het spijt me wel, maar ik vind het nog steeds geen realistische mogelijkheid voor normale gebruikers. De bezoekers van deze site zijn niet representatief voor de gehele bevolking. Als ik deze bovenstaande uitleg aan mijn moeder laat lezen dan stopt ze na twee zinnen om pijnstillers te pakken, het is domweg niet geschikt voor het deel van de bevolking die nu niet al een smartphone met de digid-app heeft.
Dat is namelijk de doelgroep waar het hier over gaat; de mensen die nu afhankelijk zijn van die SMS-controle. Pas wanneer telefoons met /e/OS voorgeinstalleerd kant en klaar in de winkels van de grote telecomaanbieders liggen naast de Samsungs en de iPhones kan je het redelijkerwijs een vergelijkbaar alternatief noemen voor een "normale" smartphone.

Het is om nog een andere reden echter geen redelijk alternatief. Zoals ik al zei is het punt waar het om gaat het uitfaseren van de SMS-controle. Op wat bijzondere uitzonderingen na speelt dat dus voor twee groepen: Mensen die geen smartphone hebben, en mensen die geen smartphone willen (of niet daarop de app willen gebruiken, wat praktisch hetzelfde is).

Mensen die geen smartphone hebben zijn mensen die het onnodig vinden of er geen nodig hebben. Ze hebben veelal een vaste lijn of een ouderwetse dumb phone. Ze kunnen daarmee bellen en die SMS'jes ontvangen (bij een vaste lijn wordt de code voorgelezen) en dat voorziet in hun behoefte. Dit zullen veelal ouderen zijn. Dan zijn er nog mensen die wegens problematische schulden of vergelijkbare problematiek geen smartphone hebben. Voor deze beide groepen is het niet redelijk om te verwachten dat ze 500+ euro uitgeven enkele en alleen om het mogelijk te maken dat 2FA d.m.v SMS-code uitgefaseerd kan worden.

De tweede groep wil geen smartphone, of de digid-app niet gebruiken. Ook die ga je hiermee niet in grote getale overhalen, en dat vormt dus nog steeds geen realistisch alternatief. Het zou een keuze moeten zijn om geen smartphone te hebben, het is niet verplicht. De overheid verplicht mensen tot het doen van bepaalde zaken zoals het doen van belastingaangifte, het afsluiten van een zorgverzekering en het hebben van een identiteitsbewijs. Dit zijn dus wettelijke plichten. Daarvoor pusht de overheid het gebruik van digid op een heel nadrukkelijke manier. Ik vind dat ze dan ook de plicht hebben om in redelijkheid te faciliteren dat mensen aan die plichten kunnen voldoen. Dat betekent een veelheid aan mogelijkheden om digid te gebruiken, en goed werkende alternatieven voor hen die dat niet willen of kunnen.

T-Mobile hoeft diefstal van 17.500 euro aan crypto na sim-swap niet te vergoeden
dinsdag 6 juni 2023, 10:49 door Redactie

https://www.security.nl/posting/798595/T-Mobile+hoeft+diefstal+van+17_500+euro+aan+crypto+na+sim-swap+niet+te+vergoeden


De sim-swap had natuurlijk ook voor andere doeleinden kunnen worden misbruikt, zoals het door de crimineel opvragen van SMS'jes van het slachtoffer met daarin diens 2FA-codes. Een stoffige Nokia gebruiken gaat daar niet tegen helpen.

Ik weet dat Belgie dat al jaren heeft.
Wel meer landen hebben dit.
Het elegante van chip op alle plastiekjes : Die pasjes zijn er al (voorkomt dat er weer een additioneel proces moet worden ingeregeld) en er ontstaat/is veel redundantie.

Implementatie via smartphone is niets anders dan een keuze. Het kan ook anders.
- Ik meen dat het altijd ook via smartphone moet kunnen. (voor degenen die dit willen en omdat dit heel schaalbaar is).
- Ik meen dat er altijd ook een alternatieve manier (fysieke) manier moet blijven bestaan. (voor degenen die niet willen of kunnen).

Voor DigiD controle in plaats van SMS, zoals die er dus ook zijn voor iOS en Android (hoewel die dus niet te downloaden zijn vanaf een website van de overheid.

Nee hoor, iemand anders kan als hij met genoeg overtuiging overkomt de vaste lijn verhuizen naar een ander adres.
Dat is het probleem waar het over gaat: het "kapen" van iemands nummer.

Digibeet of niet (of adigibeet)
om gedwongen te worden tot het gebruik van smartphones is een lastige kwestie en kost ook nog veel geld, zeker als je die telefoon verder amper of niet gebruikt (waardoor het gebruik ervan ook weer lastiger wordt...).

Waarom er voor DigiD dan niet een app(licatie) te downloaden is op de website van de overheid,
die dan te gebruiken is onder macOS of WIndows of Linux/Unix op je gewone computer, snap ik niet.
Zal de overheid wel teveel geld kosten?

Ook de zgn. veiligheidsproblemen met SMS zijn voor een groot deel goed op te lossen,
maar dat zal de telefoonbedrijven te veel geld kosten.

Dus moet de burger maar een dure smartphone kopen en maar zien dat je daar deskundige en vertrouwde hulp bij krijgt om daar mee om te gaan. (Deskundig en vertrouwd betekent dus niet iemand bij de bibliotheek!)

/e/OS is volledig open source, dus als je voldoende kundig bent kan je de sourcecode zelf controleren. En er zijn mensen die dit belangrijk genoeg vinden en het dus ook echt doen. Het oordeel (wel inmiddels al meer dan een jaar geleden dat hier een rapportje over verscheen) was dat /e/OS het in ieder geval een stuk beter voor elkaar had qua privacy dan Google versies van Android.



Ik ben zelf een groot voorstander van open source telefoons zonder tracking. Ik heb eerst een Linux telefoon gehad, maar die heeft in de praktijk weinig meer meerwaarde dan dat het een telefoon is waar je ook een internet browser op hebt staan waar je mee kan internetten. Op zich al een stuk bruikbaarder als je wel wat met internet wil op je telefoon. Nadeel is dat daar weinig bruikbare apps op draaien.

Daarom ben ik na wat leeswerk overgestapt op /e/OS en ik vind het behoorlijk gebruikersvriendelijk. De ervaring is niet zo soepel als de google versie van Android waar honderden ontwikkelaars aan werken, maar het is zeker goed bruikbaar voor dagelijks gebruik. De meeste apps draaien er prima op. Voor deze discussie is er echter 1 hele grote "maar":

De Digid app draait er niet op.

Ik heb dit onderzocht door met meerdere telefoons google android te installeren en daarna /e/OS en als je /e/OS installeert, dan doet de scanner van de QR code van de digid app (die je wel gewoon kan installeren uit bijv. de Aurora store) het niet meer. Na daar wat mee getest te hebben heb ik contact opgenomen met helpdesk van Digid, en nadat ik daar alle debiele vragen had beantwoord (zit er geen hoesje voor de lens?) en eindelijk contact gehad met iemand die snapte wat ik bedoelde, en uiteindelijk heb ik bevestiging gekregen dat de Digid App NIET draait zonder Google services.

Kortom: je kan de Digid app niet op een open source versie van Android draaien, zonder Google Services. Een belachelijke tekortkoming, want de overheid heeft de afgelopen jaren meerdere keren aangegeven dat ze open source software willen promoten, maar dat doen ze hier duidelijk niet mee.

De commissie digitale zaken van de 2e kamer heeft mijn schrijven hierover in ontvangst genomen en een standaard antwoord gegeven dat als er weer een debat is over het onderwerp, dat ze het naar de deelnemers van de commissie zullen sturen.. ondertussen zijn we dus nog geen steek verder.

Wellicht helpt het als meerdere mensen die commissie aanschrijven met bovenstaande discussie als aanleiding. Ik had het idee dat ik tot nu toe de enige was, en als die mensen niet geprikkeld worden dat er een toch wel een redelijke groep is die dit belangrijk vind, dan gebeurt er misschien nog wat op dat punt.

Wie vind zichzelf zooo belangrijk, dat hij bang moet zijn voor een sim-swap?

Controle boven veiligheid

Veiligheid is nooit 100% plus
is het vaak mosterd na de maaltijd.

Foute of te laat geinstalleerde updates,slechte of te laat aangepaste configuraties
hacks,en menselijk falen etc.

Maar wat niet faalt is meer data willen hebben en controle over
burgers.

Leuker kunnen we het niet maken,maar voor ons wel makkelijker

EU-2023

Zal de overheid wel te duur vinden? (FTM)

[...] Ik had het idee dat ik tot nu toe de enige was, [...][/quote]Zeker niet, maar wel een minderheid waar men geen rekening mee wenst te houden, waarbij je afgedaan wordt met argumenten als digibeet, vooruitgang, et cetera, en vaak door mensen die zelf amper kennis hebben van computerzaken maar denken dat ze deskundig zijn...

Oh dan heb je het hele doel van de SMS controle niet begrepen!
Het gaat er juist om dat je iets doet wat niet "door even een app te downloaden" uit te voeren is door ieder willekeurig
persoon. In het geval van SMS controle is dat "het kunnen lezen van SMS berichten naar een bepaald nummer".
Als je een DigiD app op een telefoon zet wordt die ook eerst gekoppeld aan je account met een procedure.
Dat kan op mobiele telefoons omdat die dichtgetimmerd zijn. Op een "open" systeem als Linux (of Windows) kan dat niet.

Je mist het punt van een dergelijke app. Deze kan nooit op een "open" systeem waar jij bij alle informatie kunt
gebruikt worden, want dan zou het onvoldoende beveiligd zijn tegen het door onbevoegden overzetten van de
authenticatie informatie naar een andere telefoon.
Dat is ook de reden dat er geen DigiD app bestaat voor Windows of Linux.

En waarom kan dat niet, het antwoord mag ook technisch zijn, ik zie dat niet zo het is meer de wil.
Als je met een smartphone inlogt dat je dan zeker weet dat de juiste persoon inlogt is ook niet waar.
Met andere woorden het is met de kennis van nu eigenlijk onmogelijk om zeker te weten dat de juiste
persoon inlogt.

Als ik een DigiD app op een telefoon zet, betekent dat ik die app ergens vanaf gedownload heb.
Bij die DigId app kan ik die helaas niet vanaf een website van de overheid downloaden, zoals ik bijvoorbeeld wel de Google Chrome app vanaf de website van Google kan downloaden voor Windows, macOS of Unix/Linux.
Voor zover ik het begrepen heb, kun je een DigiD app alleen downloaden vanaf een platform van iOS of Android en werkt die app dan alleen maar onder iOS of Android.
Dat dit niet anders kan, geloof ik niet. Het zal wel een kwestie van geld, onwil en onkunde zijn van de overheid.

Nee het gaat er om dat je niet veilig informatie kunt opslaan.
Het zou kunnen in combinatie met een TPM chip, maar die hebben de deelnemers van dit forum allemaal uit hun
computer getrokken!

Ja, iemand kan mijn provider overtuigen dat ik verhuisd ben. Dan moeten ze wel een ander adres hebben in Nederland om mij naar over te zetten. Ook omdat je maar een koperaansluiting per adres kan hebben (of twee met pair bonding).

Ook zal ik het vrij snel doorhebben dat ik 'verhuisd' ben ;-) Ik zal daar ook een bevestigingsbrief over krijgen lijkt mij. Al met al niet zo simpel als bij sim-swapping.

Anoniem 09:34

Zowel TOTP als SMS zijn zwakke 2FA met onderling verschillende nadelen. Bijvoordeeld:

• Meer Nederlanders hebben toegang tot SMS omdat je geen smartphone hoeft te hebben;

• Mensen zonder computer en smartphone, die door een ander (met computer of tablet) worden geholpen met bijv. de belastingaangifte, kunnen enige autonomie behouden als zij de SMS met code op hun telefoon ontvangen;

• Doordat in elk geval van de shared secrets in Google Authenticator geen back-ups werden gemaakt, was het aantal mensen dat de toegang tot TOTP (secrets) verliest, was zeker veel (en is waarschijnlijk nog steeds) groter dan het aantal mensen dat van telefoonnummer wisselt (dus, naast meer gedoe voor burgers, meer werk voor de overheid en dus hogere kosten);

• Beide helpen niet tegen "Evil proxy" aanvallen (fake DigiD website);

• Beide kunnen op hetzelfde apparaat worden ontvangen (SMS) of gegenereerd (TOTP) als waarmee wordt ingelogd (zonder dat DigiD dit weet);

• SMS-berichten zijn vaak op een vergrendeld scherm te lezen, maar veel mensen gebruiken sowieso uiterst zwakke schermvergrendeling terwijl een deel van de TOTP-apps toegankelijk is zonder aanvullende beveiliging;

• Als je met één brief een account kunt aanmaken én vervolgens een TOTP-code kunt (of moet) aanmaken, zullen burgers het niet snappen dat je opnieuw op een brief moet wachten om "slechts" een nieuwe TOTP te kunnen registreren;

• In geval van twijfel kan de overheid bellen naar het opgegeven telefoonnummer (de overheid heeft niets aan het TOTP shared secret).

Maar de hele discussie gaat volgens mij niet over het zwakke SMS vervangen door iets anders dat zwak is, maar door iets sterkers. Kennelijk is er te veel misbruik en mogelijk neemt dat toe (zonder dat we daarover geïnformeerd worden).

Zoals je waarschijnlijk wel weet is het mijn standpunt dat "absolute" authenticatie op afstand nooit veilig te krijgen is (inloggen, op afstand bewijzen dat jij dezelfde bent als toen je het account aanmaakte, kan véél betrouwbaarder).

Ik maak mij veel minder zorgen over die koppeling dan dat er iets uit mijn paspoort, zonder kwaliteitsverlies, op mijn smartphone wordt geïnstalleerd - dat, in elk geval in theorie, oneindig vaak verliesvrij gekopieerd kan worden (of wordt, in back-ups - waarvan ik geen idee heb hoe die beveiligd zijn). En dat het bezit daarvan, welliswaar niet op het hoogste betrouwbaarheidsniveau, mijn identiteit zou aantonen. Voor mijn fysieke paspoort geldt: het is in mijn bezit of niet.

Hoewel je een punt hebt, behoor je tot een zeer kleine minderheid waar de overheid geen rekening mee gaat houden.

Aanvulling 22:38: zie ook onderaan mijn reactie aan Reinder hieronder (toch een QR-code).

De belangrijkste reden is hoogstwaarschijnlijk geld, maar fraude leidt ook tot kosten. En je kunt, als overheid, ook niet eindeloos je schouders ophalen over alle risico's die individuele burgers lopen.

Zeker, maar bij een digitale overheid past niet het beeld dat burgers naar een stenen stadhuis met balies en levende medewerkers moeten (een volledig digitale overheid is m.i. een extreem kortzichtige gedachte).

Klopt, dat geldt voor elk authenticatiemiddel. Onder de vele afwegingen vallen de vragen hoe vaak burgers niet meer op DigiD kunnen inloggen, en wat daar het vaakst de oorzaak van is (niet alleen vergeten wachtwoorden of kwijt/defect geraakte objecten, maar bijv. lege batterijen, of koppelingsproblemen met nieuwere appararuur bijv. bij Yubikey-achtige tokens etc).

Ja, maar de reden voor 2FA is niet om iets sterks nog sterker te maken, maar om iets dat in de praktijk bij de meeste burgers totaal onbetrouwbaar is, enigszins betrouwbaar te maken. Effectief ga je van 0FA naar 1FA.

Aanvallers liggen er nachten van wakker: zijn het de cijfers van de postcode, het geboortejaar, of dezelfde PIN als van de bankpas?

Er zijn enorm veel vastberaden kwaadwillenden. En de potentiële inkomsten zijn hoog en de pakkans is laag.

Nee, maar kennelijk zijn een wachtwoord + SMS niet veilig genoeg meer.

Ruimschoots hangt van veel factoren af, maar sowieso wil "men" geen balie-afhaal-toestanden.

Als je live authenticatie op het stadhuis wel toestaat, zijn allerlei scenario's mogelijk - zelfs de TOTP-app die majortom graag wil:
1) Ga naar een wilkekeurig stadhuis en legitimeer je (te checken door een daartoe opgeleide verifieerder);

2) De verifieerder voert jouw gegevens in waarna een TOTP QR-code wordt getoond (gegenereerd door Logius, intern gekoppeld aan jouw BSN) op een klein schermpje (niet door anderen te zien) op de balie;

3) Scan die QR-code met een TOTP-app naar keuze (hoewel de overheid daar een dringend advies over zou kunnen afgeven, en/of de continuiteit van een app zoals Aegis zou kunnen vergroten door dat project financieel te steunen).

Dan is het geen "naamloze" TOTP meer, maar ééntje die is gekoppeld aan jouw identiteit. En waar je, in tegenstelling tot paspoortgegevens, niets anders mee kunt dan inloggen op DigiD.

@Erik van Straten:

Ik denk dat we het eigenlijk goeddeels eens zijn. Een paar opmerkingen nog:

1) Ik vraag me af hoe groot het probleem van fraude met DigiD is. Ik vind wel wat cijfers, maar die gaan over alle soorten, dus inclusief phising, whatsapp fraude etc. Hoe groot is het probleem nu eigenlijk? Dit is geen kritiek op wat je zei, maar meer in het algemeen een opmerking.

2) Bij een digitale overheid past wellicht niet het bezoek aan het gemeentehuis (ook al ben ik het met je eens dat 100% digitaal kortzinnig is) maar vergeet niet dat we het hier hebben over een "probleem" dat alleen en uitsluitend speelt voor mensen die nog afhankelijk zijn van die SMS controle. Dit treft niet de mensen die de app gebruiken. Het is dus sowieso al een kleine groep, waarvan een deel ongetwijfeld nog zal overstappen op de app als SMS het echt niet meer doet. Is voor deze groep een bezoek aan het gemeentehuis misschien niet gewoon de beste oplossing? Zoals ik eerder zei is het gebruik van digid feitelijk een vereiste om te voldoen aan je wettelijke plichten, dus past daarbij een vriendelijke en toegankelijke opstelling die rekening houdt met mensen voor wie de app om wat voor reden dan ook niet voldoet.

3) Inderdaad, blijkens de plannen zijn wachtwoord + SMS kennelijk niet meer veilig genoeg, maar ik ben echt benieuwd waarom dan niet. Dit is gerelateerd aan vraag 1, hoe groot is dit probleem? Ik heb gewoon niet het idee dat criminelen bij duizenden en duizenden mensen die inloggen met DIgid om hun flitsfoto's in te zien of te kijken hoeveel eigen risico ze nog hebben de SMS'jes aan het aftappen zijn. Hoe verhoudt het zich tot andere vormen van fraude? Ik vraag het met name omdat het niet altijd iets uitmaakt of je nu een 2FA code via SMS krijgt of inlogt met de app; als mensen gevallen zijn voor social engineering, dwang of bedreiging e.d. dan maakt het niet meer uit want dan krijgt de aanvaller die inlog. Het geeft alleen en uitsluitend extra beveiliging tegen aanvallen die gericht zijn op de combinatie wachtwoord + SMS. Zitten er misschien andere overwegingen achter? Kosten die paar miljoen SMS'jes echt zoveel geld? Als je in complottheorieen gelooft kan het deel zijn van een breder plan om uiteindelijk iedereen die Europese Identitieits-app te laten gebruiken, maar deze theorie onderschrijf ik niet zonder fatsoenlijk bewijs.

4) Ik zie het probleem niet met "balie-afhaal-toestanden". Waarom zouden dat toestanden zijn? Het betreft slechts mensen die niet de app willen gebruiken, en waarvan de overheid toch wil dat ze digid doen. Nou ja, maak een extra keuzeoptie "Digid Token afhalen" als je een afspraak maakt bij de gemeente, en vraag er desnoods een bijdrage voor van een tientje. Dan zorg je dat alleen echt de mensen die de app niet willen of kunnen er een komen halen. Ik geloof niet dat het gaat leiden tot onoverkomelijke drukte. Doe die SMS desnoods uitfaseren in meerdere fases over enkele maanden om de drukte te verminderen.

Inloggen met Digid is 3FA:
inlognaam
wachtwoord
SMS-code

Hoe onveilig kan dat nou zijn...

DigiD werkt ook prima onder /e/OS. De truc is wel om de webbrowser op het /e/OS mobieltje zélf te gebruiken.


Vanaf dit punt start de DigiD app onder /e/OS automatisch op. Inloggen met DigiD en daarmee werken gaat prima.



Opmerkingen bij het gebruik van DigiD onder /e/OS

• Het blokkeren van de Google en Microsoft analytics trackers in de DigiD app vormt onder /e/OS geen belemmering.

• De 'Advanced Privacy' instellingen, het verbergen van de locatie en het IP-adres, kunnen de werking van DigiD en bankieren apps wel verhinderen. Die functies kunnen per app worden aan- of uitgezet. Zet deze uit voor de DigiD en de bank app, omdat die instanties om begrijpelijke redenen niet gecharmeerd zijn van niet-traceerbare verbindingen.

• Alleen de werking van de QR koppelcode van DigiD onder /e/OS laat nog te wensen over, omdat het koppelen van de mobiel aan een ander apparaat, zoals bijvoorbeeld een desktop, mislukt. De QR-code op een ander apparaat wordt door de camera (nog) niet herkent, maar dat belet dus niet het gebruik van DigiD onder /e/OS zelf.

• Een koppeling van de DigiD app met een ander apparaat is alleen nuttig voor een groter scherm. Mocht een groter scherm prettiger lezen zijn, dan kan men via de e.foundation website zoeken op welke typen Android tablets /e/OS ook werkt (dat zijn er slechts enkelen). Een beter alternatief is het casten van de mobiel op een tv-scherm.

• Verder blijft het nog wel de vraag open staan over hoe de integriteit van de APK download van de DigiD app ook voor een leek goed te controleren valt. Dit los van het vertrouwen dat men anders in de in Frankrijk gevestigde non-profit e.Foundation, als de privacy beschermende middleman, moet stelllen. Dit geldt ook voor de bankieren apps.


Met een beetje goede politieke wil is de open source DigiD app binnenkort beschikbaar op de Overheid.NL website.

https://www.security.nl/posting/792589/Van+Huffelen%3A+openbaar+maken+broncode+DigiD+moet+voor+veiligere+app+zorgen

Dit heeft alles te maken met de Wet Digitale Overheid in combinatie met de evaluaties eIDAS (en de gevolgen daarvan).
Digitale identiteit is een sleutel tot grensoverschrijdend zaken doen (met name burger-overheid en ja : ook buitenlandse overheid).

De overheid is oprecht bezig om digitale identiteit ook veilig te maken (en dat is nooit absoluut).
De overheid is ook oprecht bezig om de doorwerking te maximaliseren.

Maar/en : de overheid heeft ook de eigen infrastructuur opgetuigd
en die moet blijkbaar koste wat kost in stand blijven (belangen deelnemers, organisaties, etc)
Mede als argument dat eea niet te veel mag kosten. (goedkoop blijkt wel vaker duurkoop te zijn; en ook: hoe kunnen de kosten bij een ander neerdalen).
Aan multi-channel denkt men blijkbaar niet. (de combinatie van weigeren multichannel met potentieel misbruik voedt de complotdenkers)

Een brede visie-ontwikkeling heb ik nog niet gezien (en dat is nmm essentieel)
Ik heb wel gezien dat het ene product (ook) geschikt moet worden gemaakt voor een ander doel (project-denken).
De 'cylinders-of-excellence' draven dus door.

Dat zouden geen toestanden hoeven te zijn.
Het vergt een open mind.

Stel je voor
- de overheid levert plastiekjes aan burgers (paspoort, rijbewijs, ID-kaart, kentekenbewijs, verblijfsvergunning, etc)
- daarvoor zijn de processen al ingeregeld
- plaats een chip in die plastiekjes en zet daar een PKI-Overheid certificaat op.
- kost nauwelijks extra
- en daarmee kan je met eIDAS-hoog betrouwbaarheidsniveau inloggen bij de overheid.

Probleem met SMS bestaat niet meer
Probleem met DigID bestaat niet meer
en ieder heeft zijn eigen authenticatiemiddel (vaak meerdere) die niet zijn te kopieren of zijn te misbruiken.

Overigens
als een bewust bekwame slechterik een pistool tegen mijn hoofd houdt, dan geef ik mijn codes af.
Niets is volledig waterdicht.

Dat idee is onjuist. Het aantal factoren heeft te maken met hoeveel verschillende apparaten of kanalen worden gebruikt.

Een regel uit een toespraak van omtzigt “ abstracte modellen en bestuurders die zijn verdwaald in technologische politiek zonder visie". Dit zegt toch genoeg en daarbij is het een dwangregering iedereen moet mee kunnen met
hun visie als je wel of niet wil. Het is toch te gek dat je zelf kosten moet maken om met deze regering te mogen
communiceren. Hoe voelt het trouwens weer aan, een regering voor mensen, ik weet het niet meer maar wij
mogen serieus eens gaan na denken. En die verwachte reacties dat iedereen een smartphone heeft is niet
waar.

https://nos.nl/artikel/2478361-omtzigt-pleit-bij-start-tour-voor-stille-revolutie-zwijgt-over-politieke-

https://nos.nl/nieuwsuur/artikel/2478376-verkenners-zagen-omtzigt-als-probleem-en-risico-voor-de-formatie

Wat ik bedoel, is dat je om te kunnen inloggen al 3 dingen correct moeten kunnen invoeren,
namelijk een inlognaam en wachtwoord en een SMS-code.
Dan kan die SMS-code op de een of andere manier op zichzelf onveilig zijn,
maar voordat daar gebruik van gemaakt kan worden,
moet je dus ook al de inlognaam en het wachtwoord voor je DigiD weten.
Dat maakt in mijn ogen het risico van SMS nogal betrekkelijk.
Ik denk dan ook eerder dat het een geldkwestie is voor de overheid
om SMS-controle voor DigiD af te schaffen.

Dan hanteer je alleen je eigen definitie, in plaats van de algemeen gebruikelijke.
Dan kun je het net zo goed 16-factor noemen, omdat je gebruikersnaam 6 tekens is, je wachtwoord 9, en dan nog de SMS.
Nee, zo werkt dat niet.
De factoren zijn bijvoorbeeld "iets wat je weet" en "iets wat je bezit".

Dit is al eerder besproken. Die methode kan, maar in de praktijk betekent dat dan toch weer een app, omdat dit
de meest praktische manier is om "de mensen" een kaartreader met internet verbinding te geven.
Dat lost in feite niet veel op.

Logica gaat bij mij voor arbitraire definities waar ik nog nooit van gehoord heb en ook mijn bedenkingen tegen heb:

Om met DigiD in te kunnen loggen, heb ik 3 dingen nodig die ik moet 'weten':

1. mijn inlognaam
2. mijn wachtwoord
3. een code die ik per SMS gekregen heb.

Hoe je dat wil definieren is secundair aan het feit dat SMS alleen maar echt
onveilig is als iemand dus ook je inlognaam en wachtwoord voor DigiD heeft.
Dat maakt het risico van SMS in mijn ogen erg betrekkelijk, zeker op een
telefoon die niet met het internet verbonden is en dus ook amper last kan
hebben van 'malware'.
Wat dat betreft is een zgn. 'smartphone' inherent ook veel onveiliger voor DigiD,
aangezien je (zeker als gewone gebruiker) geen idee hebt wat daar allemaal op gebeurt.

Het lost wel iets op.
Iemand die echt niet met een smartphone wil, maar wel met een computer (bijv Linux)
die kan digitaal communiceren met de overheid.
Zonder dat de persoon verder kan worden gevolgd.
Zonder kans op een sociaal credit systeem.

Een kant-en-klaar Murena mobieltje met /e/OS is te koop. Geen gedoe met zelf moeten unlocken of rooten. :)

De gangbare vormen van MFA (SMS, voice, TOTP) beschermen niet tegen een Attacker in the Middle (AitM) aanval.

https://www.security.nl/posting/792391/Authenticatie+en+impersonatie

Deze DigiD aanpassing wordt gewoon gedaan om ons voor te bereiden op de volgende versie van eIDAS.
Je BSN wordt straks een Europeese eID.

Het maakt dus ook niet uit wat de politiek in Nederland beslist. Het wordt er gewoon doorheen gedrukt, net als al die andere EU wet en regelgevingen die er nu aankomen.

Dan zal die "AitM" toch ook mijn inlognaam en wachtwoord moeten hebben van DigiD
voordat zoiets een wezenlijk probleem is.
Google en Apple doen dan ook nog steeds aan SMS.
Banken vaak niet (meer)
maar dat is om (hun) kosten te besparen, denk ik.

Bij een AitM-aanval ontvangt de crimineel als tussenpersoon de gegevens die u invoert. Dan hebt u een probleem.


SMS is verouderd. Wat is er tegen om het betalingsverkeer tegelijkertijd beter beveiligd én goedkoper te maken?

OTP/TOTP hebben grote nadelen.

Je kunt namelijk dit backupen in de cloud, of zelfs in een cloud applicatie opslaan. De code kan op meerdere devices actief zijn tegelijkertijd.

Een hacker kan de token dus ook exporteren naar een ander device, zonder dat de eind gebruiker dit weet.

Je kunt ook geen check doen, zoals we nu hebben, met de koppel code.

High Risk logins detecteren, zoals dat de browser in NL zich bevind, maar de telefoon/code ergens in China gebruikt wordt.

PIN Code forceren voordat je de applicatie kan gebruiken.

Er zijn dus hele goede redenen om (T)OTP niet te gebruiken.

Ik ben heel blij dat de overheid dit niet toestaat. Er zitten aan dit soort oplossingen grote security nadelen.

Wil niet zeggen dat de DigiD perfect is.

Van Huffelen: burger kan sms-controle bij DigiD voorlopig nog gebruiken
maandag 12 juni 2023, 11:51 door Redactie

https://www.security.nl/posting/799225/Van+Huffelen%3A+burger+kan+sms+bij+DigiD+voorlopig+nog+gebruiken

Function creep is ook iets om rekening mee te houden, alsmede het gebrek om "met de kennis van nu" toch maar (beveiligings)updates uit te brengen door overheden, banken, providers en zo meer. De gemiddelde mobiel is niet veilig genoeg om financiële en/of identiteit gerelateerde apps op te installeren. Daarnaast zijn Apple en Google geneigd om om de zoveel tijd hun voorwaarden aan te passen, en zelden in uw voordeel.

Deze app werkt niet (meer) op uw toestel. Gelieve (alweer) honderden euro's op te hoesten (naast kiezen tussen warmte of voedsel) om aan uw wettelijk verplichte belastingaangifte te kunnen voldoen, waarna wij u vertellen hoeveel meer u dient te betalen. U kunt natuurlijk ook een paar tientjes uitgeven aan een Chinees/Koreaans toestel, maar uw potentieel verlies aan privacy en beveiliging is dan uw probleem. Ook al vinden wij, overheid, in China gefabriceerde producten een probleem. Nog even afgezien van de reputatie die software, en bijbehorende koppelingen van gegevensverzamelingen, van de overheid tot op heden heeft opgebouwd.

Is er overigens een reden waarom Kamerleden, en andere hoog gepositioneerde personen, verplicht zijn specifieke telefoons te gebruiken? En waarom diverse hooggeplaatste politici voornamelijk via SMS communiceren over (inter)nationale belangen? Dus hoe onveilig vinden ze SMS zelf?

KISS is bijzonder aan te raden, misschien kunnen onze volksvertegenwoordigers dan beter omvatten wat ze nu weer overhoop halen. Tevens duurzaam, voorkomt het onnodig in de kliko smijten van vele telefoons.

Maar dat ligt dan niet aan de SMS...

Als ik gedwongen wordt om daarvoor een dure telefoon er bij aan te schaffen en daar veel tijd aan te besteden, kan ik dat niet goedkoper noemen.
Voor het betalingsverkeer is dat gelukkig momenteel ook niet nodig, aangezien de banken daar zelf een eenvoudig authenticatie apparaatje voor leveren. Misschien ook een idee voor de overheid om DigiD op die manier te beveiligen.

En dan met name de ing bank, hier een inlognaam, wachtwoord en token, ik weet niet of ze dit met opzet hebben
gedaan om het inloggen moeilijker te maken maar voor mij ideaal. Maar de meeste vinden dit te omslachtig tot ze
beroofd worden.

Dat denk ik ook.

Ik heb geen idee. Maar eerst kon DigiD via 1FA, toen kwam SMS erbij als "tweede factor" en nu is dat kennelijk niet veilig genoeg meer.

De via-gemeentehuis-initiatiemethode zou m.i. voor iedereen moeten gelden. O.a. door brievenbushengelen is het initiatieproces ("onboarding") onbetrouwbaar en zeer afhankelijk van lokale omstandigheden (denk aan ondiepe brievenbussen in flat-portieken en plastic groene bakkies aan de straat, al dan niet "op slot" - voor zover dat helpt). Dat men vervolgens bij inloggen van "hoge beveiligingsniveaus" spreekt, is m.i. schijnveiligheid.

De ketting bestaat hier uit ten minste de volgende twee (zwakke) schakels:
1) Het initiatieproces: nu per post (zeer zwak)
2) Elk inlogproces.

Aangezien de app losstaat van het initiatieproces zou m.i. elke burger naar het gemeentehuis moeten (ook bij wijzigingen).

Nogmaals, dat weet ik niet. Er is ooit wel over gevallen van misbruik gepubliceerd:
• https://www.security.nl/posting/372385/Identiteitsdieven+stelen+tonnen+via+DigiD-fraude

• https://www.security.nl/posting/556706/Zestal+veroordeeld+tot+celstraffen+voor+omvangrijke+DigiD-fraude

• https://www.security.nl/posting/704839/Logius+verwijderde+13_000+DigiD-accounts+in+eerste+maanden+van+2021

Enkele andere mogelijk interessante pagina's:
• https://www.security.nl/posting/31030/DigID%3A+handig+of+risico%3F

• https://www.security.nl/posting/446536/Binnenlandse+Zaken+niet+eens+met+DigiD-kritiek+CBP

• https://www.security.nl/posting/624579/Hogere+kosten+DigiD+door+versterken+van+beveiliging

• https://www.security.nl/posting/701749/Security_NL+spreekt+met+Logius+over+beveiligingskeuzes+voor+DigiD-app

Mijn moeder van 91 kan niet "even naar het gemeentehuis". Je moet al snel machtigingen regelen (met bijbehorende risico's). De vraag is ook of gemeentes op het extra werk zitten te wachten. Vooral niet als elke burger hier gebruik van zou maken, zoals ik meen dat noodzakelijk is (zie boven).

Die verkrijgt de AitM in één keer. Als, bijvoorbeeld, ofwel:
1) Burgers via een phishing e-mail naar een valse website worden gelokt,
ofwel
2) Een legitieme site waarop burgers met DigiD kunnen inloggen, gehacked is;

dan kan die website die burgers naar een nep-DigiD website sturen, of hen middels een BitB (Browser in the Browser, de website toont eigen inhoud die op de gehele DigiD-website lijkt, inclusief nep-adresbalk en nep-hangslotje) aanval op het verkeerde been zetten - waardoor zij hun inloggegevens - user-ID, wachtwoord én SMS-code - alledrie dus, op één valse website invoeren (met die gegevens logt de nep-website in op de echte DigiD.nl site).

Een voordeel van de échte DigiD-app is dat de DigiD-URL om in te loggen daar "hard" in is ingebakken (of die app van certificate-pinning gebruikmaakt, weet ik niet). Echter, moderne wachtwoordmanagers (met de juiste browser-integratie, onder iOS en Android verzorgd door het besturingssysteem) kunnen ook de domeinnaam checken, en gebruikers zo helpen verzekeren dat zij inloggen op de juiste site (en niet een AitM).

Bij een gecompromiteerd toestel van de gebruiker helpt niets; de AitM kan dan in de smartphone, tablet of PC van de burger zitten.

Maar wat ik dus bedoel, en wat je zelf ook aangeeft met punt 1 en 2, is dat dan niet die SMS-code op zich de kern van het probleem is. Bovendien zie ik niet in waarom je niet een echte DigiD-app op een 'gewone' computer zou kunnen gebruiken.
En als een gewone computer als (te) onveilig wordt gezien, zouden we misschien maar beter kunnen stoppen om belangrijke zaken via internet te regelen nu de alternatieven er nog zijn.

Wellicht niet de kern, maar SMS voegt bar weinig beveiliging toe terwijl er ook nadelen aan kleven:

a) Het helpt niet tegen "evil proxy" nep-websites;

b) Als een aanvaller een DigiD user-ID en wachtwoord, via welke manier dan ook (bijv. via een passieve phishing website) in handen krijgt, kan zij/hij op elk gewenst moment een SIM-swap proberen uit te voeren, of heel misschien via een SS7 aanval. Ook zouden criminelen, op zo'n passieve phishing website, naast om DigiD user-ID en wachtwoord, om een telefoonnummer kunnen vragen. Daarmee kunnen zij later (de mensen die in de phishing-site getrapt zijn) bellen:
(Ik heb getwijfeld of ik dit wel kon schrijven, maar dit soort aanvallen liggen zó voor de hand dat ik het beter vind om mensen er tegen te waarschuwen, én omdat het laat zien hoe eenvoudig brave burgers misleid kunnen worden).
Onthoud: geef nooit gegevens gebruikt om in te loggen aan derden. Beheerders van diensten, o.a. op websites, hebben deze gegevens zelf; er bestaat geen enkele reden om ze, zogenaamd aan hen, te verstrekken.

c) De brief die toegang geeft tot SMS-2FA kan uit een brievenbus gehengeld worden;

d) De betrouwbaarheid van authenticatie middels user-ID, wachtwoord en SMS wordt door velen overschat. Het overschatten van de betrouwbaarheid van authenticatie is een ernstige zaak, want dat maakt het voor onschuldige slachtoffers nóg lastiger om aan te tonen dat niet zij het waren die authenticeerden;

e) Ik ken mensen die zelfs SMS-2FA niet begrijpen;

f) Er zijn mensen met pre-pay SIM's die hun beltegoed laten verlopen of hun PIN en PUK vergeten, met als eenvoudigste oplossing een nieuwe pre-pay SIM kopen - met dus een ander telefoonnummer;

g) Argument van tegenstanders: naast de app ook SMS in stand houden, kost de overheid/belastingbetaler extra geld.

Feitelijk is bij de invoering van SMS als 2FA-middel een onjuiste kosten/baten-analyse gemaakt, waarbij risico's als b) over het hoofd zijn gezien en d) vermoedelijk een grote rol heeft gespeeld: overschatting van de betrouwbaarheid. Ondertussen is het schijnveiligheid gebleken. Wie had dat nou verwacht? De mensen die dit soort systemen ontwerpen hadden dit moeten verwachten en hebben gefaald.

Omdat de belofte van Google en Apple was dat alle apps in hun "stores" betrouwbaar zouden zijn en blijven, en toestellen met hun besturingssystemen malwarevrij zouden zijn en blijven.

Het probleem beperkt zich niet tot Windows: naarmate een besturingssysteem meer gebruikers heeft, hoe "interessanter" het wordt voor cybercriminelen. Mede geholpen door de vraag van klanten om allerlei "features" (zoals vanalles toegankelijk maken op een vergrendeld scherm, maar ook "handige" apps die gebruikmaken van voorzieningen zoals Android's Accessibility Service).

Zolang het hen zelf niet treft, is dat voor veel te veel mensen onbespreekbaar.

Ik heb niet de illusie dat we "de tijd kunnen terugdraaien", en m.i. hoeft dat ook niet in het grootste deel van de gevallen; er kan véél digitaal - maar niet alles. En we moeten weer rekening gaan houden met mensen die niet alles digitaal kunnen of willen regelen.

Suggereren dat redelijk betrouwbare "absolute" authenticatie op afstand mogelijk is, is burgers Russisch roulette laten spelen met hun identiteit - waarbij het aantal slachtoffers per jaar, "dankzij" AI, alleen maar toe zal nemen. Daarnaast moet je, vind ik, als overheid accepteren dat niet iedereen mee kan of wil komen op de "digitale snelweg".

In Nederland hebben we verkeersregels om burgers tegen andere verkeersdeelnemers én tegen zichzelf te beschermen - omdat de meeste mensen de risico's niet (willen) zien (raad eens wat er gebeurt als er weinig of niet gehandhaafd wordt). En de overheid dwingt niet iedereen om een dure auto of scooter te kopen: integendeel, OV wordt gesubsidieerd, er worden fietspaden en stoepen aangelegd en onderhouden, en op veel plaatsen vervoeren vrijwilligers tegen kostprijs mensen die slecht ter been zijn.

Hoe lang accepteren we nog dat kortzichtige en geldzuchtige digitale verkeershufters bepalen wat "goedkoper" is en bruikbaar is voor iedereen?

Goed verhaal Erik