Digidcode onveilig

Inleiding

Dat de Digidcode onveilig is, was al bekend bij de invoering van het systeem in 2004. Dat het Algemeen Dagblad nu met dit nieuws naar buiten komt, is daarom eigenlijk oud nieuws. Wat aan dit verhaal wel nieuw is dat zich inmiddels een aantal gevallen hebben voorgedaan die de achilleshiel van dit systeem blootleggen. Even terug in de geschiedenis...

Invoering van de Digid

In 2004 werd vol trots verkondigd dat men voortaan gebruik kon maken van het digitale loket van overheid. De sleutel om toegang te krijgen werd de zogenaamde DigiDcode. Op deze wijze had men toegang tot alle aangesloten overheidsdiensten en wist de overheid met wie ze te doen had (identiteitsfraude werd uitgesloten geacht). Aan de totstandkoming van de DigiDcode was een ontwikkelingsperiode van meer dan tien jaren aan voorafgegaan. Dus de (financiële) belangen van de deelnemende partijen waren hoog, een mislukking kon men zich daarom niet permitteren.

Kritiek

Al tijdens de introductie van de DigiD, maakte het Genootschap van Informatiebeveiligers kenbaar dat het systeem niet veilig was: “Het Genootschap van Informatiebeveiligers (GvIB) vindt de beveiliging van DigiD niet goed. Met alleen een gebruikersnaam en wachtwoord is de beveiliging van de digitale identificatiemethode van de overheid in elk geval niet sterk genoeg om er een belastingaangifte mee te ondertekenen. Volgens de branchevereniging zijn extra maatregelen nodig om identiteitsfraude met DigiD te voorkomen.”

Ondanks deze waarschuwing werd al aangekondigd dat vanaf dat vanaf 2008 een DigiD verplicht zou worden voor de elektronische belastingaangifte. Het GvIB vond dat de overheid bij de invoering van DigiD teveel vanuit een eigen belang redeneerde. De schade na identiteitsfraude komt vooral voor rekening van de burger.

DigiD startte kort daarna met een proef om de veiligheid van DigiD te vergroten. Daarbij werd een code apart per sms verstuurd. De belastingdienst wil dit beveiligingsniveau voor de aangifte gaan gebruiken. Ook deze verbeterde beveiliging, blijkt naar nu bekend is geworden, gemakkelijk te kraken.

Herhaling van de kritiek

In 2011 wordt de reeds geventileerde kritiek uit 2004 herhaald. “Het DigiD-systeem waarmee je op internet kunt inloggen op websites van de overheid, is onveilig en achterhaald. Dat zeggen beveiligingsexperts in het AD. Met DigiD kunnen mensen onder meer digitaal belastingaangiftes versturen en toeslagen aanvragen. Het systeem werkt op basis van een naam en een wachtwoord die de gebruiker zelf kiest. Volgens IT-journalist Brenno Winter maakt dat het systeem kwetsbaar.”

In de tussenliggende periode is het aantal overheidsdiensten dat via de DigiD wordt aangeboden fors toegenomen. Met name de toeslagen hebben een magneetwerking op potentiële fraudeurs.

Adviezen

Naast de kritiek worden er een aantal alternatieven aangedragen om de fraudegevoeligheid te beperken:

Volgens Winter kan de overheid beginnen met het aangetekend versturen van die activeringsbrieven. Dat maakt het frauderen al een stuk moeilijker.

Verder vindt hij dat de overheid op de beveiligingssystemen van banken zou moeten overstappen. Die hanteren bij elke transactie een unieke code die gebruikt moet worden. Dat systeem is voor criminelen nauwelijks te kraken.

De toekomst

Naar aanleiding van het artikel in het AD heeft DigiD aangekondigd dat men met een nieuw beveiligingssysteem onder de naam eNik bezig is, dit systeem zou een hoger beveiligingsniveau inhouden.

Resumerend

Het is op zich treurig dat de overheid op deze wijze met de belangen van de burgers om gaat. Zeker als al bij de invoering bekend is waar de zwakke plekken zitten en hiervoor onvoldoende maatregelen zijn genomen om deze weg te werken. Voor wat betreft het nieuwe systeem is te hopen dat het niet nog tien jaren gaat duren voordat het wordt ingevoerd.

Op 2 september 2011 is door de rechtbank Haarlem het faillissement van Diginotar uitgesproken. De werkzaamheden zijn inmiddels door andere beveiligingsbedrijven overgenomen.

Update 2012

Aangifte Inkomstenbelasting 2011

Tijdens de aangifte van de Inkomstenbelasting over het jaar 2011, is echter gebleken dat de overname niet vlekkeloos is verlopen, belastingplichtigen werden geconfronteerd met het feit dat hun gegevens onbekend waren en dat ze wederom een nieuwe code dienden aan te vragen. Daarbovenop kwam nog het feit dat men met een storing te maken kreeg, als gevolg van het feit dat men massaal een nieuwe code aanvroeg. Een dergelijke massale aanvraag kon men niet verwerken. Ter completering van de chaos viel het netwerk van Vodafoon, ten gevolge van een brand, gedeeltelijk uit waardoor het versturen van codes via sms onmogelijk werd. Navraag bij de nieuwe organisatie leverde het onbevredigende antwoord op , dat men het later nogmaals opnieuw moest proberen. Aangezien het de bedoeling is om als éénloket-functie voor de overheid op te treden is dit geen goed vooruitzicht.