|
DigiD
DigiD (uitgesproken als die-gie-dee oftewel /ˌdiɣiˈde/) is een systeem waarmee Nederlandse overheden op internet iemands identiteit kunnen verifiëren, een soort digitaal paspoort voor overheidsinstanties. DigiD werd in 2003 gelanceerd onder de naam Nieuwe Authenticatie Voorziening en werd toen ook wel Burgerpin genoemd.[3] De naam werd op 5 oktober 2004 gewijzigd in DigiD.[4] Alle burgers van Nederland konden vanaf 1 januari 2005 zich ermee bij overheidsorganisaties via internet identificeren en alle overheidsinstellingen in Nederland konden zich op DigiD gaan aansluiten.[5][6] DigiD is een afkorting van Digitale Identiteit. Het is door stichting ICTU opgezet, die in 2001 is opgericht door het ministerie van Binnenlandse Zaken en de Vereniging van Nederlandse Gemeenten. DigiD werd ontwikkeld door het BKWI.[7][8] DigiD is nu in beheer bij de gemeenschappelijke beheerorganisatie van de overheid: Logius. DigiD is gekoppeld aan het burgerservicenummer. DigiD voor bedrijven is in 2004 gelanceerd onder de naam Overheid Transactie Voorziening. Bedrijven konden ook een DigiD-inlogcode aanvragen, die aan hun Kamer van Koophandel-nummer was gekoppeld. Binnen het toenmalig ministerie van Landbouw Nijverheid en Visserij werd geëxperimenteerd met het gebruik van DigiD voor bedrijven in combinatie met de mineralen aangifte door agrariërs. Het gebruik van DigiD door bedrijven was verwaarloosbaar.[9] DigiD voor bedrijven was beschikbaar tot 1 januari 2011. Ter vervanging is het afsprakenstelsel eHerkenning voor Bedrijven gekomen. DigiD is onderdeel van het eID-stelsel. DigiD is een eIDAS erkend middel. Eind 2021 moet het mogelijk zijn om met je DigiD in te loggen bij overheidsorganisaties in andere Europese lidstaten.[10] DigiD is vergelijkbaar met CSAM dat in België wordt gebruikt. GebruikDigiD is een identificatiemethode en bedoeld om via internet veel zaken bij overheidsdiensten te kunnen regelen. DigiD staat voor digitale identiteit, en is de toegang waarmee iemand zichzelf kan identificeren. Met DigiD is in te loggen op de websites van de rijksoverheid, gemeente, ABP, UWV, Sociale Verzekeringsbank, politie, belastingdienst, maar ook is die te gebruiken voor het maken van een afspraak voor een bezoek aan de huisarts of ziekenhuis, bij de apotheek of het declareren bij de zorgverzekering.[11] De website waarbij gebruik kan worden gemaakt van DigiD is te herkennen aan het DigiD logo. Door iemand te machtigen is het mogelijk zaken door die persoon te laten regelen, maar dat gebeurt wel via zijn eigen DigiD. DigiD en niet-overheidDigiD is het standaardidentificatie- en authenticatiemechanisme bij gegevensuitwisseling met de overheid via internet. Daarmee bestaat DigiD uit een enorme directory van digitale identiteiten. Bovendien staat de overheid borg voor de betrouwbaarheid van die identiteiten. Met de komst van het burgerservicenummer, dat per 26 november 2007 het sofinummer verving, kunnen in theorie ook andere overheidsorganisaties zich op DigiD aansluiten, bijvoorbeeld zorgverzekeraars, onderwijsinstellingen en zorginstellingen. Er zijn diverse organisaties die nadenken over het gebruik van DigiD voor identificatie en authenticatie. In het begin mocht DigiD daarvoor formeel niet worden gebruikt, omdat DigiD alleen op basis van het burgerservicenummer de authenticatie kan uitvoeren. Alleen bestuursorganen van de overheid mochten dergelijke informatie gebruiken en alleen aan hen mag DigiD 'het resultaat van de authenticatie' melden. Tegenwoordig werken ook niet-overheidsinstanties met DigiD zoals ziekenhuizen en onderwijsinstellingen. Een bezwaar tegen het gebruik van DigiD voor authenticatie buiten het overheidsdomein is gelegen in de 3rd Law of Identity, zoals geformuleerd door Kim Cameron: de overheid, de eigenaar van DigiD, is geen legitieme partij in transacties buiten het overheidsdomein. De overheid heeft bijvoorbeeld niets te maken met transacties tussen een individu en een webwinkel of weblog. Dat geldt in beperkte mate ook voor DigiD, dat in de huidige opzet niet weet van de inhoud van de webdienst, maar wél dat op zijn minst begonnen is met een webdienst af te nemen. Bezwaren tegen het gebruiken van één authenticatiedienst die door de overheid wordt geleverd, hebben te maken met de beschikbaarheid, vertrouwelijkheid en integriteit die door zo'n platform geboden moet worden.
DoelOp aanvraag ontvangt men van DigiD hiervoor een bij de aanvraag zelf gekozen gebruikersnaam en bijbehorend wachtwoord. Hiermee kan men met één inlogcode terecht bij elektronische diensten van steeds meer overheidsinstellingen. Behalve een groot deel van de gemeenten zijn onder meer ook de Belastingdienst, de Sociale Verzekeringsbank en het Uitvoeringsinstituut Werknemersverzekeringen intussen aangesloten op DigiD. DigiD werd vanaf 2006 verplicht voor iedereen die in Nederland elektronisch belastingaangifte doet. DigiD wordt bij de aangifte gebruikt voor de authenticatie, een vereiste om samen met een of meer andere maatregelen een digitale handtekening te kunnen plaatsen. Alleen degenen die gebruikmaken van de dienst hulp bij aangifte, diskettegebruikers, gebruikers van commerciële software en fiscale intermediairs kunnen nog gebruikmaken van de vroegere pincodebeveiliging. DigiD en de aangesloten overheidsorganisaties bieden vooralsnog geen voorziening voor vertegenwoordiging. Omdat een DigiD strikt persoonlijk is, is het de eigenaar van een DigiD niet toegestaan zijn gebruikersnaam en wachtwoord aan een andere persoon uit te lenen. Wel kan in sommige gevallen een andere persoon voor de authenticatie zorgdragen door zelf zijn eigen DigiD te gebruiken. In dat geval zal de overheidsorganisatie van wie een dienst wordt afgenomen, in aanvulling op DigiD, controle op de rechtmatigheid van de authenticatie ten opzichte van de dienst uitvoeren. Commerciële vertegenwoordigers, zoals belastingadviseurs, mogen klanten nooit vragen naar hun DigiD of namens hen DigiD's aanvragen. Het gebruik van de DigiD van een ander geldt als identiteitsfraude. Controle op dergelijk oneigenlijk gebruik kan ook op een later moment plaatsvinden, afhankelijk van de aard van de afgenomen dienst. WerkingMen kan op de website van DigiD een gebruikersnaam aanvragen. Het opgegeven adres van deze persoon moet in ieder geval hetzelfde zijn als wat in de Basisregistratie Personen (BRP) staat als bekende woonadres van de aanvrager. De aanvrager kan zelf een DigiD-gebruikersnaam en wachtwoord kiezen. Vervolgens krijgt men een activeringscode thuisgestuurd. Met deze activeringscode kan men op de website van DigiD zijn gebruikersnaam activeren. Mensen, die met een bijzondere achternaam, bijvoorbeeld namenreeks, of een afwijkend adresformaat, zoals bij een woonboot zonder huisnummer, in de BRP staan ingeschreven, kunnen ook een DigiD aanvragen. Om een elektronische dienst af te nemen met DigiD wordt men van de website van de overheidsinstelling doorgeleid naar de inlogpagina van DigiD. Hier logt men in en, nadat de identiteit is geverifieerd, kan men de dienst afnemen. De DigiD-website voert de controle op de identiteit dus uit, waardoor de afnemende overheidssites die controle niet meer zelf hoeven uit te voeren. ZekerheidsniveausDigiD heeft verschillende zekerheidsniveaus: Basis, Midden, Substantieel en Hoog. Hoe hoger het zekerheidsniveau, hoe strenger de veiligheidsmaatregelen, maar ook hoe meer diensten er kunnen worden afgenomen. De eisen aan het zekerheidsniveau worden gesteld door de website welke inloggen met DigiD aanbiedt.[12] Het bepalen van het minimale niveau hangt onder andere af van het soort persoonsgegevens welke er verwerkt worden. Zo heeft de Autoriteit Persoonsgegevens laten weten dat een patiëntportaal met medische gegevens op minstens niveau Substantieel beschermd zou moeten worden.[13]
In relaties tot de Europese zekerheidsniveaus, binnen eIDAS, zijn zowel DigiD Basis als Midden vergelijkbaar met eIDAS Laag.[18] DigiD Substantieel en Digid Hoog zijn vergelijkbaar met respectievelijk eIDAS Substantieel en eIDAS Hoog. Geen van de DigiD inlogmiddelen heeft echter goedkeuring om gebruikt te kunnen worden binnen het stelsel. ToekomstEen nieuw systeem voor elektronische identificatie in Nederland is Idensys. Voor het vergroten van de veiligheid worden hierin twee aanvullende maatregelen ten opzichte van DigiD getroffen: een uitgifte in persoon, bijvoorbeeld bij een balie, en een digitaal middel dat aan de hoogste veiligheidsnormen voldoet, bijvoorbeeld een chip. Tevens wordt gewerkt aan DigiD inlogmiddelen die meer zekerheid geven over de identiteit van de persoon die inlogt. De inlogmiddelen zijn van de eIDAS-niveaus Substantieel en Hoog. Met deze inlogmiddelen zal dan alleen van een smartcard gebruik gemaakt kunnen worden, al dan niet met een PKI-certificaat.[bron?] Kritiek en schandalenBezwaren tegen DigiDDoor het Genootschap van Informatiebeveiligers is in 2006 kritiek geuit op de werkwijze rond DigiD. Het bezwaar kwam neer op de volgende punten:
Binnen het palet van voorzieningen met niveau Basis, Midden en Hoog, heeft DigiD de basis authenticatiefunctie uitgebreid tot niveau Midden door toevoeging van sms-authenticatie. Uitbreiding van de authenticatiefunctie met de sms-functie maakt deze veiliger, aangezien iemand die andermans DigiD-gegevens kent, die functie op de DigiD-website, door het 06-nummer te veranderen, alleen kan aanpassen als deze over het bestaande gsm-nummer beschikt. Daarmee wordt dit beveiligingsniveau zo sterk als de beveiliging van de simkaarten in een telefoon. Daarnaast is het eenvoudig om zodra gegevens als burgerservicenummer en geboortedatum bij een derde bekend zijn voor iemand anders een DigiD aan te vragen. Doordat de activeringscode naar het huisadres wordt gestuurd, is misbruik niet zo eenvoudig te realiseren, al blijkt het in de praktijk wel voor te komen. 350 DigiD's van studenten in een studentenhuis in Groningen bleken in juni 2013 op deze wijze te zijn buitgemaakt.[19] Maar door de nieuwe aanvraag komt een bestaand DigiD te vervallen, zodat de rechtmatige eigenaar, totdat hij of zij zelf opnieuw een DigiD heeft aangevraagd, deze tijdelijk niet kan gebruiken. In wezen resulteert dit in denial of service voor de rechtmatige bezitter van de DigiD. Een soortgelijk incident trad eind 2013 ook op in Amsterdam-Zuidoost, waarbij Logius de gebrekkige postbezorging in dat postcodegebied als oorzaak aangaf.[20] Bij gebrek aan uitsluitsel over toepassing van authenticatie bij uitreiking of het gebruik van een betere vorm van versterkte authenticatie met behulp van een token of smartcard, is naast kennis van een bewijs van identiteit ook het bezit van een bewijsstuk nodig ter identificatie. In theorie kan de techniek van het sinds 28 augustus 2006 beschikbare paspoort met biometrie daarvoor worden gebruikt. Tijdens de behandeling van de Wet digitale overheid in januari 2020 werd een oproep gedaan onder de term #goedID voor het waarborgen van een goede digitale identiteit.[21] De wet maakt het mogelijk om naast publieke inlogmiddelen, zoals eID, mogelijk om ook met private inlogmiddelen, ontwikkeld en verkocht door bedrijven, online in te loggen. Met de slogan 'digitale identiteit is geen handelswaar' pleitte de groep voor transparantie en het gebruik van opensourcesoftware, het voorkomen van een centrale opslag van persoonsgegevens en te waarborgen dat een digitaal ID enkel gebruikt mag worden in het publiek belang. Beveiligingsschandaal overheidscertificatenDigiNotar, het bedrijf dat de beveiligingscertificaten van onder meer DigiD leverde, kwam in de zomer van 2011 ernstig in opspraak, nadat aan het licht was gekomen dat er onder meer vanuit Iran een hack was gezet bij het bedrijf, dat vervolgens had nagelaten de overheid en zijn andere klanten op de hoogte te stellen dat het was gecompromitteerd. Niet alleen de overheid, maar ook makers van browsersoftware zoals Mozilla hebben het vertrouwen in DigiNotar opgezegd, Getronics PinkRoccade heeft de certificering van DigiD-verbindingen overgenomen.[22] Overheid zet in op DigiD-app - Security.NL[23] Trivia
Zie ookExterne linkBronnen, noten en/of referenties
|
|||||||||||||||||||||||||||||||||||
