Digitale authenticatie van natuurlijke personen bij afname van overheidsdiensten: verschil tussen versies
(→De dienst authenticatie: textueel) |
(→Organisatielaag: digid entry verbeterd) |
||
| Regel 112: | Regel 112: | ||
<td>DigID | <td>DigID | ||
<td>Logius | <td>Logius | ||
| − | <td>BRP | + | <td>[[BRP (Basisregistratie Personen)]] |
| − | <td> | + | <td>Logius |
<tr> | <tr> | ||
<td>eHerkenning | <td>eHerkenning | ||
Versie van 22 feb 2020 om 15:04
Identity & Access Management (IAM)
| Versie: | 2019-10-28 |
|---|---|
| Contactpersoon: | Anne Schrijer Anne.Schrijer@rijksoverheid.nl |
| Bijdragen door: | Anne Schrijer, Harro Kremer |
Authenticatie van de digitale identiteit
Aanpak
Binnen de NORANederlandse Overheid Referentie Architectuur Expertgroep Digitale identificatie en authenticatie is de behoefte geuit aan een verbetering van de teksten op het gebied van Authenticatie van Natuurlijke Personen[1]. Deze pagina bevat een eerste, nog onvolledige, uitwerking daarvan.
Het streven is om een structuur neer te zetten die inzichtelijk maakt welke aspecten beschreven moeten worden en om deze structuur te vullen met teksten die bruikbaar zijn voor mensen met weinig kennis en ervaring met het onderwerp Authenticatie.
Verdere uitwerking van dit document zal in de toekomst opgepakt gaan worden. Voor nu beperken we de uitwerking tot de bevestiging van een digitale identiteit van een natuurlijke personen bij digitale interactie met de Nederlandse Overheid.
(NB: De kaders en processen rond het beheer en gebruik van fysieke authenticatiemiddelen (waaronder Nederlandse en Buitenlandse paspoorten) en de visuele controle ervan worden als gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat beschouwd. De beperking tot Nederlandse Overheid hangt samen met de scope van de NORANederlandse Overheid Referentie Architectuur.)
De dienst authenticatie
Authenticatie is definieert als: Het aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit.
Authenticatie bij een overheidsdienst (die meestal in de vorm van een webdienst beschikbaar gesteld worden) vindt als volgt in de praktijk plaats: De natuurlijke persoon bezoekt de digitale dienst. Als de dienst authenticatie nodig vindt, dan wordt de gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem gevraagd om zijn identiteit aan te geven door het gebruik van een vertrouwde authenticatie dienst. Als de overheidsdienst meerdere authenticatiemiddelen ondersteund met de minimaal vereiste betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. dan ligt de keuze voor het middel bij de gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem. Het uitlezen van de gegevens uit een wettelijk identiteitsbewijs kan ook worden gezien als een authenticatiedienst.
Grondslagenlaag
Voor het gebruik van digitale diensten bij de overheid geldt dat voor een deel van de handelingen daarbij bij wet is geregeld op welke manieren en met welke minimale betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. de persoon zich moet authenticeren om van een dienst gebruik te kunnen maken. Het belang van de overheidsorganisatieNORA doelt met het begrip 'overheidsorganisaties' zowel op overheden als op semi-overheid- en private organisaties met een publieke taak. is hierbij dat zij de identiteit van de betrokken persoon met voldoende nauwkeurigheid kan vaststellen. In de niet-digitale wereld zijn hiervoor kaders beschikbaar; voor het gebruik van overheidsdiensten zou het voor de authenticatie niet moeten uitmaken of het gebruik in de digitale en niet-digitale wereld plaats vindt.
Uitgangspunt: De digitale authenticatie bij het afnemen van een dienst via een digitaal kanaalCommunicatiekanaal dat bij de dienstverlening wordt gebruikt. Elk kanaal kent verschillende vormen waarin informatie kan worden gedeeld. dient van een gelijk betrouwbaarheidsniveau te zijn als het authenticatie die nodig is om de dienst via een niet digitale weg af te nemen.
De in de wet genoemde middelen om de identiteit van personen vast te stellen zijn nauwelijks geschikt voor authenticatie bij overheidsdiensten door het ontbreken bij natuurlijke personen van middelen om de identiteit (zoals op de RFC chip) zijn opgeslagen over te dragen aan een digitale dienst (die meestal in de vorm van een webdienst wordt aangeboden). Er zijn daarom andere authenticatie middelen geïntroduceerd om een natuurlijk persoon gebruik te laten maken van digitale diensten.
Er zijn op dit moment verschillende authenticatiemiddelen technisch beschikbaar, enkele voorbeelden hiervan zijn DigID, iDin; ook kunnen Google of Facebook accounts gezien worden als authenticatiemiddel. Deze middelen variëren in de mate van betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. waarmee ze de natuurlijke persoon identificeren. De overheid stelt per dienst eisen op aan het betrouwbaarheidsniveau en vertaalt dit naar de authenticatiemiddelen die zijn toestaat. Het uitgifte proces van deze middelen bepaalt de zekerheid waarmee de identiteit in het digitale middel overeenkomt met zijn identiteit als natuurlijk persoon. De betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. van een authenticatiemiddel komt overeen met een mate van zekerheid. Verschillen in uitgifte processen leiden tot verschillen in betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid..
| Identificatie en BSN | |
| Betrouwbaarheidsniveau |
|
Er zijn op dit moment twee en in de toekomst meerdere stelsels die gebruik kunnen worden voor authenticatie van natuurlijke personen. In de tabel is Idensys niet opgenomen omdat de pilot daarmee in 2018 is gestopt. STORK / ISO29015 is niet opgenomen omdat deze grotendeels opgevolgd zijn door eIDAS. Het is de verwachting dat de Wet Digitale Overheid aanvullende authenticatiemiddel zal gaan toestaan.
| DigID |
|
| eHerkenning | |
| eIDAS | |
| private middelen (WDO) |
|
Natuurlijke personen identificeren zich op dit moment uitsluitend met hun BSN (mogelijk gaat dit door de WDO veranderen). Voor het BSN geldt dat deze alleen gebruikt mag worden als de wetgever dit expliciet heeft bepaald. Op wetten.nl zijn daarom meerdere regelingen die voor een dienst het gebruik van DigID verplicht stellen.
Organisatielaag
Er zijn verschillende organisatiemodellen die gebruikt worden bij authenticatie. De meeste uitgebreide is die van het Afsprakenstelsel Electronische Toegang (eHerkenning); deze staat hieronder beschreven. De tabel eronder legt de relatie met de andere authenticatie middelen.
| Dienstafnemer | Gebruiker van de dienst. Hier: natuurlijk persoon die een dienst afneemt van de overheid. De Dienstafnemer kan zelf een keus maken uit de door de dienstleverancier ondersteunde authenticatiemethoden/middelen voor een dienst. De afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. zal zelf voor een geaccepteerd authenticatie middel moeten zorgen door deze bij een Middelenuitgever aan te vragen. |
| Dienstverlener (DV) | De dienstaanbieder is een (overheids) organisatie die een dienst aanbied, waarbij authenticatie van de dienstafnemer van belang is. De dienst kan geleverd worden door de dienstaanbieder zelf uitbesteed zijn aan een dienstaanbeider (DA). De dienstaanbieder bepaalt wanneer authenticatie nodig is en het betrouwbaarheidsniveau daarbij. Zie bij XXX perspectief. |
| Authenticatiemiddel | Een drager van een set attributen met een bekend betrouwbaarheidsniveau. |
| Middelenuitgever (MU) | Organisatie die authenticatiemiddelen uitgeeft conform het vereiste betrouwbaarheidsniveau. Hij controleert bij het uitgeven van het middel de identiteit(gegevens) van de afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. tegen een autoritatieve Bron. Indien de dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) een eigen middel gebruikt is de Middelenuitgever daarmee ook de Authenticatiedienst. |
| Basisregister (Autoratieve Bron) | De bron waaruit de attributen op het Authenticatiemiddel afkomstig zijn. |
| Authenticatiedienst (AD) | De organisatie die op verzoek van de dienstaanbieder de feitelijke authenticatie uitvoert en daarbij controleert of het authenticatiemiddel (dat door de dienstafnemer is gepresenteerd) nog valide is. Indien nodig kan de autoritatieve bron geraadpleegd worden. Indien de dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) een eigen middel gebruikt is de Authenticatiedienst ook de Middelenuitgever. |
Dit generieke model kent op dit moment (medio 2020) de onderstaande invullingen.
| Middelenuitgever | Basisregister | Authenticatiedienst | |
|---|---|---|---|
| DigID | Logius | BRP (Basisregistratie Personen) | Logius |
| eHerkenning | Meerdere marktpartijen | BRP | Meerdere marktpartijen |
| eIDAS | land specifiek | land specifiek | NL eIDAS node |
Informatielaag
De informatielaag bevat 3 deelgebieden
- InformatieBetekenisvolle gegevens. binnen de afgenomen dienst. Authenticatie is een van de onderdelen van de adequate beveiliging van deze informatie. Zowel de karakteristieken van de informatie als de handelingen die met de informatie gedaan (inzien, wijzigen) worden bepalen het gewenste betrouwbaarheidsniveau en limiteert de keuze aan beschikbare authenticatiemiddelen.
- InformatieBetekenisvolle gegevens. binnen de authentieke bron.
- InformatieBetekenisvolle gegevens. binnen het authenticatie middel afkomstig uit de authentieke bron. Deze informatie wordt bij authenticatie overgedragen aan de dienstafnemer. Op dit punt zijn er verschillen tussen de authenticatiemiddelen.
Toelichting:
- De handeling met de informatie betreft het onderscheid tussen informatie inzien en wijzigen.
- De positie van de handeling in het proces van dienstgebruik. Niet voor alle handelingen binnen een dienst is altijd hetzelfde betrouwbaarheidsniveau vereist.
- De juridische status van informatie betreft het iets waar juridische stappen op gebaseerd kunnen worden. Hierbij kan ook worden meegewogen of het juridisch aspect onheroepelijk is.
- De risico's betreffen het belang als er misbruik van de informatie wordt gemaakt door derden. Hieronder valt zowel het voordoen als de dienstafnemer (identiteitsfraude) als het gebruiken van informatie die niet had mogen worden ingezien.
De bij grondslagen genoemde handreikingen bieden op dit moment een beperkte bruikbaarheid. Organisatie moeten daarom specifiek nadenken op het niveau van handelingen tijdens het afnemen van de dienst:
- Wanneer zijn aanvullende maatregelen nodig bij authenticatie binnen een dienst (in de vorm van extra verificaties tijdens afname van de dienst)
- Wanneer zijn lichtere maatregelen mogelijk (draagt bij aan gebruikersgemak). Hierbij zou een niveau-1 middel zoals gedefinieerd in binne ISO 29115 een rol kunnen spelen.
- De authoratieve bron van de identiteit; voor Nederlandse burgers is dat de BRP; bij buitenlanders is de betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. van de bron soms lager dan van het BRP.
Er zijn richtlijnen die hierbij kunnen helpen
- [https://www.forumstandaardisatie.nl/sites/bfs/files/atoms/files/Betrouwbaarheidsniveaus_voor_digitale_dienstverlening_v4.PDF/ Betrouwbaarheidsniveaus_voor_digitale_dienstverlening0 (Forum Standaardisatie)
- Voorbeelden van diensten en betrouwbaarheidsniveaus (eHerkenning).
Onderstaande tabel geeft aan welke attributen bij welk authenticatiemiddel worden overgedragen en wat de betrouwbaarheidsniveau's zijn. Het betrouwbaarheidsnivea wordt sterk bepaald door het uitgifte proces. Hierdoor kan gebruikersnaam+wachtwoord+SMS zowel een EH2 als EH3 niveau leveren.
