Digitale authenticatie van natuurlijke personen bij afname van overheidsdiensten: verschil tussen versies

Uit NORA Online
Ga naar: navigatie, zoeken
(g)
(De dienst authenticatie: Definities overgenomen van Begrippen IAM en interne links naar NORA pagina's toegevoegd.)
 
(32 tussenliggende versies door dezelfde gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem niet weergegeven)
Regel 1: Regel 1:
{{IAM
+
{{IAM
 
|Beschrijving=
 
|Beschrijving=
 
|Contactpersoon=Anne Schrijer
 
|Contactpersoon=Anne Schrijer
Regel 5: Regel 5:
 
|Redactionele wijzigingsdatum=2019-10-28
 
|Redactionele wijzigingsdatum=2019-10-28
 
|Review=
 
|Review=
|Bijdragen door=Anne Schrijer
+
|Bijdragen door=Anne Schrijer, Harro Kremer
 
|Extra tekst=
 
|Extra tekst=
 
}}
 
}}
Regel 21: Regel 21:
  
 
=De dienst authenticatie=
 
=De dienst authenticatie=
 +
 +
[[Authenticatie]] is gedefinieerd als: ''Het proces waarbij op basis van één of meer Authenticatiefactoren wordt geverifieerd of de Identiteit die door de Entiteit geclaimd, ook daadwerkelijk behoord bij betreffende Identiteit op het aangegeven betrouwbaarheidsniveau. '' Authenticatie noemt men ook wel verificatie van de identiteit.
 +
 +
In de praktijk betekent authenticatie dat de handelende identiteit (bijv. een natuurlijke persoon), tijdens het afnemen van een (digitale) dienst bij een dienstaanbieder, moet kunnen aantonen dat wat zijn identiteit is. Dit wordt vaak gedaan met een authenticatiemiddel dat in het bezit is van de handelende identiteit en dat door de dienstverlener vertrouwd wordt omdat het is uitgegeven door een vertrouwde (zich zelf of een derde) partij.
 +
 +
'''Authenticatie bij een overheidsdienst''' (die meestal in de vorm van een webdienst beschikbaar gesteld worden) vindt als volgt in de praktijk plaats: De natuurlijke persoon bezoekt de digitale dienst. Als de dienst authenticatie nodig vindt, dan wordt de gebruiker gevraagd om zijn identiteit aan te geven door het gebruik van een vertrouwde authenticatiedienst. Als de overheidsdienst meerdere authenticatiemiddelen ondersteund met de minimaal vereiste betrouwbaarheid dan ligt de keuze voor het middel bij de gebruiker. Het uitlezen van de gegevens uit een wettelijk identiteitsbewijs kan ook worden gezien als een authenticatiedienst.
 +
 +
: Als voorbeeld:<br>''Ik kan als burger met een BSN (identiteit) berichten lezen <br>in de door Logius (dienstverlener) gefaciliteerde berichtenbox op MijnOverheid.nl (dienst) <br>door mij te authenticeren met mijn DigiD (authenticatiemiddel) <br>die door Nederlandse staat (vertrouwde partij) is uitgeven.''
 +
 +
De ontwikkeling van kaders en middelen voor authenticatie bij overheidsdiensten hebben zich de afgelopen jaren geconcentreerd op "zware" diensten waarbij er een rechtsgevolg relevant is. Er zijn echter vele (lichtere) diensten die daar niet aan voldoen; hier zijn echter nog geen standaarden voor en derhalve ook weinig bijbehorende authenticatiediensten. Dit heeft tot gevolg dat een dienstaanbieder per dienst zowel het betrouwbaarheidsniveau zal moeten bepalen als ook de bijbehorende techniek zal moeten invullen.  Enkele voorbeelden van dit soort diensten zijn:
 +
* Melding doen van verstoringen in de openbare ruimte (kapotte lantarenpaal, losse stoeptegel, etc)
 +
* Gebruik van gasten wifi netwerken in overheidspanden
 +
 +
 
==Grondslagenlaag==
 
==Grondslagenlaag==
Voor wettelijk benoemde authenticaties geldt dat een gebruiker zich zal moeten identificeren met een middel dat een gelijk of hoger betrouwbaarheidsniveau heeft als het minimale betrouwbaarheidsniveau van de af te nemen dienst. Het principe hierbij is dat een dienst altijd afgenomen mag worden met een authenticatie middel dat tenminste het zelfde betrouwbaarheidsniveau heeft.
 
Praktische randvoorwaarde is wel dat de dienstleverancier het te gebruiken authenticatiemiddel technisch moet kunnen ondersteunen.
 
Een overheidspartij zal voor de dienstverlening aan een burger een aantal middelen verplicht moeten accepteren, zolang de betrouwbaarheidsniveau van die middelen toereikend is voor het betrouwbaarheidsniveau van de dienst.
 
  
Uitgangspunt bij digitale authenticatie:
+
Voor het gebruik van digitale diensten bij de overheid geldt dat voor een deel van de handelingen daarbij bij wet is geregeld op welke manieren en met welke minimale betrouwbaarheid de persoon zich moet authenticeren om van een dienst gebruik te kunnen maken. Het belang van de overheidsorganisatie is hierbij dat zij de identiteit van de betrokken persoon met voldoende nauwkeurigheid kan vaststellen. In de niet-digitale wereld zijn hiervoor kaders beschikbaar; voor het gebruik van overheidsdiensten zou het voor de authenticatie niet moeten uitmaken of het gebruik in de digitale en niet-digitale wereld plaats vindt.  
De digitale authenticatie bij het afnemen van een dienst via een digitaal kanaal dient van een  gelijk  betrouwbaarheidsniveau te zijn als het authenticatie die nodig is om de dienst via een niet digitale weg af te nemen.
 
  
De belangrijkste authenticatie middelen voor natuurlijke personen bij de digitale interactie met de overheid zijn DigID en het afsprakenstelsen Electronische toegangsdiensten (AET).  
+
'''Uitgangspunt:''' De digitale authenticatie bij het afnemen van een dienst via een digitaal kanaal dient van een  gelijk  betrouwbaarheidsniveau te zijn als het authenticatie die nodig is om de dienst via een niet digitale weg af te nemen.
  
* Handreiking betrouwbaarheidsniveaus:
+
De in de wet genoemde middelen om de identiteit van personen vast te stellen zijn door hun fysieke karakter nauwelijks geschikt voor authenticatie bij overheidsdiensten door het ontbreken bij natuurlijke personen van middelen om de identiteit (zoals op de RFC chip) zijn opgeslagen over te dragen aan een digitale dienst (die meestal in de vorm van een webdienst wordt aangeboden). Er zijn daarom andere authenticatie middelen geïntroduceerd om een natuurlijk persoon gebruik te laten maken van digitale diensten. Een voorbeeld waarin het wel direct gebruikt wordt zijn de grenscontrole systemen op Schiphol waarbij het gepresenteerde paspoort wordt uitgelezen en de gebruiker op basis daarvan geauthenticeerd wordt.
- [https://afsprakenstelsel.etoegang.nl/display/as/Betrouwbaarheidsniveaus/ Afsprakenstelsel Betrouwheidsniveus]
 
  
- [https://www.forumstandaardisatie.nl/thema/handreiking-betrouwbaarheidsniveaus/ Forum Standaardisatie Handreiking Betrouwbaarheidsniveau]
+
Er zijn op dit moment verschillende authenticatiemiddelen technisch beschikbaar, enkele voorbeelden hiervan zijn DigiD, iDin; ook kunnen Google+ ID of Facebook ID gezien worden als authenticatiemiddel. Deze middelen variëren in de mate van betrouwbaarheid waarmee ze de natuurlijke persoon identificeren. De overheid stelt per dienst eisen op aan het betrouwbaarheidsniveau en vertaalt dit naar de authenticatiemiddelen die zijn toestaat.  Het uitgifte proces van deze middelen bepaalt de zekerheid waarmee de identiteit in het digitale middel overeenkomt met zijn identiteit als natuurlijk persoon. Het '''betrouwbaarheidsniveau''' van een authenticatiemiddel komt overeen met een mate van zekerheid. Verschillen in uitgifte processen leiden tot verschillen in betrouwbaarheid.  
  
- [https://www.forumstandaardisatie.nl/sites/bfs/files/atoms/files/Betrouwbaarheidsniveaus_voor_digitale_dienstverlening_v4.PDF/ Forum Standaardisatie Betrouwbaarheidsniveaus voor digitale dienstverlening] (hoofdstuk 3.3)
+
Bij gebruik van overheidsdiensten op een niet-digitale wijze vraagt de overheid aan de persoon om zijn identiteit aan te tonen met een wettelijk identiteitsbewijs (paspoort, rijbewijs, etc). In lijn met het hierboven genoemde uitgangspunt maken de uitgifte processen van digitale authenticatiemiddelen gebruik van deze wettelijke identiteitsbewijzen. Het digitale authenticatiemiddel fungeert daarbij als een digitaal equivalent van het identiteitsbewijs.  
  
* Normenkader middeluitgifte:
+
<table>
- [https://afsprakenstelsel.etoegang.nl/display/as/Technische+specificaties+en+procedures+voor+uitgifte+van+authenticatiemiddelen/ Afsprakenstelsel Technische specificaties en procedures voor uitgifte van authenticatiemiddelen]
+
  <tr>
+
    <td>[[Identificatie]] en [[Burgerservicenummer (BSN) | BSN]]
* Meer informatie met betrekking tot de Wettelijke Kaders DigID (omdat DigID op dit moment voor burgers nog de effectief vigerende standaard is) zijn te vinden op:
+
    <td>
- [https://www.digid.nl/wet-en-regelgeving/ Digid Wet- en regelgeving]
+
: [https://wetten.overheid.nl/id/BWBR0022428/2018-07-28/0?g=2020-02-20&z=2020-02-22 Wet algemene bepalingen burgerservicenummer]
 +
: [https://wetten.overheid.nl/BWBR0006297/2017-03-01 Wet op de identificatieplicht] (Artikel 1)
 +
  <tr>
 +
    <td>Betrouwbaarheidsniveau
 +
    <td>
 +
: [https://afsprakenstelsel.etoegang.nl/display/as/Betrouwbaarheidsniveaus/ Betrouwheidsniveaus Afsprakenstelsel Electronische Toegangsdiensten]
 +
: [https://www.forumstandaardisatie.nl/thema/handreiking-betrouwbaarheidsniveaus/ Handreiking Betrouwbaarheidsniveau vanuit Forum Standaardisatie]
 +
: [https://www.forumstandaardisatie.nl/sites/bfs/files/atoms/files/Betrouwbaarheidsniveaus_voor_digitale_dienstverlening_v4.PDF/ Betrouwbaarheidsniveaus voor digitale dienstverlening van Forum Standaardisatie] (hoofdstuk 3.3)
 +
: NEN-ISO/IEC 29115:2013 Information technology - Security techniques - Entity authentication assurance framework
 +
</table>
  
- [https://wetten.overheid.nl/BWBR0037124/2018-06-01/ Regeling voorzieningen GDI]
+
Er zijn op dit moment twee en in de toekomst meerdere stelsels die gebruik kunnen worden voor authenticatie van natuurlijke personen. In de tabel is 
 +
Idensys niet opgenomen omdat de pilot daarmee in 2018 is gestopt. STORK / ISO29015 is niet opgenomen omdat deze grotendeels opgevolgd zijn door eIDAS. Het is de verwachting dat de Wet Digitale Overheid aanvullende authenticatiemiddel zal gaan toestaan'; met iDIN als een van de kandidaten.
 +
<table>
 +
  <tr>
 +
    <td>'''[[DigiD]]'''
 +
    <td>
 +
: [https://www.digid.nl/wet-en-regelgeving/ Digid Wet- en regelgeving]
 +
: [https://wetten.overheid.nl/BWBR0037124/2018-06-01/ Regeling voorzieningen GDI] (hoofdstuk 3)
 +
  <tr>
 +
    <td>'''[[EHerkenning]]'''
 +
    <td>
 +
: [https://afsprakenstelsel.etoegang.nl/display/as/Juridisch+kader/ Afsprakenstelsel Juridisch kader]
 +
: [https://afsprakenstelsel.etoegang.nl/display/as/Technische+specificaties+en+procedures+voor+uitgifte+van+authenticatiemiddelen/ Afsprakenstelsel Technische specificaties en procedures voor uitgifte van authenticatiemiddelen]
 +
  <tr>
 +
    <td>'''[[EIDAS verordening | eIDAS]]'''
 +
    <td>
 +
: [http://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32014R0910&from=EN VERORDENING (EU) Nr. 910/2014 VAN HET EUROPEES PARLEMENT EN DE RAAD]
 +
  <tr>
 +
    <td>private middelen ('''WDO''')
 +
    <td>
 +
: [https://www.digitaleoverheid.nl/nieuws/wet-digitale-overheid-aangenomen-door-tweede-kamer/ Wet digitale overheid aangenomen door Tweede Kamer] (op 18 februari 2020)
 +
</table>
  
* Meer informatie over de Wettelijke Kaders afsprakenstelsen Electronische toegangsdiensten zijn te vinden op:
+
Natuurlijke personen identificeren zich op dit moment uitsluitend met hun BSN (mogelijk gaat dit door de WDO veranderen). Voor het BSN geldt dat deze alleen gebruikt mag worden als de wetgever dit expliciet heeft bepaald. Op wetten.nl zijn daarom meerdere regelingen die voor een dienst het gebruik van DigiD verplicht stellen.
- [https://afsprakenstelsel.etoegang.nl/display/as/Juridisch+kader/ Afsprakenstelsel Juridisch kader]
 
  
 
==Organisatielaag==
 
==Organisatielaag==
De (rol van de) stakeholders bij authenticatie van de digitale identiteit zijn:
 
  
[[Afbeelding:authenticatie stakeholders.png|thumb|none|750px|Authenticatie Stakeholders|alt=”schematische beschrijving van verschillende stakeholders in het authenticatie proces”|link=Digitale authenticatie van natuurlijke personen bij afname van overheidsdiensten]]  
+
Er zijn verschillende organisatiemodellen die gebruikt worden bij authenticatie. De meeste uitgebreide is die van het [[Stelsel Elektronische Toegangsdiensten | Afsprakenstelsel Electronische Toegang]] (eHerkenning); deze staat hieronder beschreven. De tabel eronder legt de relatie met de andere authenticatie middelen.
 +
[[Afbeelding:Nora Authenticatie Organisatie Model.png|nothumb|none|600px|Authenticatie Stakeholders|alt=”schematische beschrijving van verschillende takeholders in het authenticatie proces”|link=Digitale authenticatie van natuurlijke personen bij afname van overheidsdiensten]]  
  
'''De dienstaanbieder'''
+
<table class="wikitable" >
 +
  <tr>
 +
    <td style="width: 20%">'''[https://afsprakenstelsel.etoegang.nl/display/as/Dienstafnemer Dienstafnemer]'''
 +
    <td>Gebruiker van de dienst. Hier: natuurlijk persoon die een dienst afneemt van de overheid. De Dienstafnemer kan zelf een keus maken uit de door de dienstleverancier ondersteunde authenticatiemethoden/middelen voor een dienst. De afnemer zal zelf voor een geaccepteerd authenticatie middel moeten zorgen door deze bij een Middelenuitgever aan te vragen.
 +
  <tr>
 +
    <td>'''[https://afsprakenstelsel.etoegang.nl/pages/viewpage.action?pageId=57213223 Dienstverlener (DV)]'''
 +
    <td>De dienstaanbieder is een (overheids) organisatie die een dienst aanbied, waarbij authenticatie van de dienstafnemer van belang is. De dienst kan geleverd worden door de dienstaanbieder zelf uitbesteed zijn aan een dienstaanbeider (DA). De dienstaanbieder bepaalt wanneer authenticatie nodig is en het betrouwbaarheidsniveau daarbij. Zie bij XXX perspectief.
 +
  <tr>
 +
    <td>'''Authenticatiemiddel'''
 +
    <td>Een fysiek of digitaal middel op grond waarvan authenticatie van een gebruiker kan plaatsvinden; i.e. een drager van een Digitale Identiteit met een vastgesteld betrouwbaarheidsniveau
 +
  <tr>
 +
    <td>'''[https://afsprakenstelsel.etoegang.nl/pages/viewpage.action?pageId=57213253 Middelenuitgever (MU)]'''
 +
    <td>Organisatie die authenticatiemiddelen uitgeeft conform het vereiste betrouwbaarheidsniveau. Hij controleert bij het uitgeven van het middel de identiteit(gegevens) van de afnemer tegen een autoritatieve Bron. Indien de dienstverlener een eigen middel gebruikt is de Middelenuitgever daarmee ook de Authenticatiedienst.
 +
  <tr>
 +
    <td>'''Basisregister'''<br>(Autoratieve Bron)
 +
    <td>De bron waaruit de attributen op het Authenticatiemiddel afkomstig zijn.
 +
  <tr>
 +
    <td>'''[https://afsprakenstelsel.etoegang.nl/pages/viewpage.action?pageId=57213185 Authenticatiedienst (AD)]
 +
    <td>De organisatie die op verzoek van de dienstaanbieder de feitelijke authenticatie uitvoert en daarbij controleert of het authenticatiemiddel (dat door de dienstafnemer is gepresenteerd) nog valide is. Indien nodig kan de autoritatieve bron geraadpleegd worden. Indien de dienstverlener een eigen middel gebruikt is de Authenticatiedienst ook de Middelenuitgever.
 +
</table>
  
De dienstverlener zal binnen de eigen organisatie moeten bepalen:
+
Dit generieke model kent op dit moment (medio 2020) de onderstaande invullingen.
* Welke dienst/usecases er zijn waarbij er geauthenticeerd moet worden.
+
<table class="wikitable">
* De minimale betrouwbaarheid waaraan de authenticatie moet voldoen. Zie ook:  Hoofdstuk grondslagen - betrouwbaarheidsniveaus
+
  <tr>
* Welke doelgroep de dienst gaat afnemen.
+
    <th>&nbsp;
- Welke identiteitsgegevens er vastgesteld/bevestigd moeten worden (zie ook: [[Identiteitenbeheer#Organisatielaag]])
+
    <th>Middelenuitgever
* met welke (combinatie) van middelen de authenticatie mag/moet worden uitgevoerd.
+
    <th>Basisregister
* Hoe actueel de authenticatie moet zijn.
+
    <th>Authenticatiedienst
* Hoe actueel de informatie waartegen gecontroleerd wordt moet zijn.
+
  <tr>
 +
    <td>[[DigiD]]
 +
    <td>Logius
 +
    <td>[[BRP (Basisregistratie Personen)]]
 +
    <td>Logius
 +
  <tr>
 +
    <td>[[EHerkenning | eHerkenning]]
 +
    <td>Meerdere marktpartijen
 +
    <td>[[NHR (Basisregistratie Handelsregister)]]
 +
    <td>Meerdere marktpartijen
 +
  <tr>
 +
    <td>[[EIDAS verordening | eIDAS]]
 +
    <td>land specifiek
 +
    <td>land specifiek
 +
    <td>NL eIDAS node
 +
</table>
  
'''De authenticatie uitvoerder'''
+
==Informatielaag==
* De authenticatie uitvoerder draagt zorg voor het betrouwbaar uitvoeren van een authenticatie met behulp van een authenticatiemiddel.
 
* De authenticatie uitvoerder kan de authenticatie gegevens controleren tegen de bron indien nodig.
 
* Zie hoofdstuk applicatielaag – voorzieningen
 
  
'''De authenticatiemiddel verstrekker'''
+
De informatielaag bevat 3 deelgebieden
* Draagt zorg voor de betrouwbaarheid van het middel.  
+
* '''Informatie binnen de afgenomen dienst'''. Authenticatie is een van de onderdelen van de adequate beveiliging van deze informatie. Zowel de karakteristieken van de informatie als de handelingen die met de informatie gedaan (inzien, wijzigen) worden bepalen het gewenste betrouwbaarheidsniveau en limiteert de keuze aan beschikbare authenticatiemiddelen.  
* Controleert bij het uitgeven van het middel de identiteit(gegevens) van de afnemer tegen een autoritatieve Bron.
+
* '''Informatie binnen de het basisregister'''.
* Indien de dienstverlener een eigen middel gebruikt is de dienstverlener daarmee ook de middel verstrekker.
+
* '''Informatie binnen het authenticatie middel''' afkomstig uit de authentieke bron. Deze informatie wordt bij authenticatie overgedragen aan de dienstafnemer. Op dit punt zijn er verschillen tussen de authenticatiemiddelen.  
Voor een aantal middelen is bepaald voor welk authenticatie betrouwbaarheidsniveau dat middel gebruikt kan worden. Zie grondslagenlaag.  
 
  
'''De autoritieve bron'''
+
[[Bestand:Nora Authenticatie Informatie Model.png|none|600px|Authenticatie Stakeholders|alt=”schematische beschrijving van verschillende takeholders in het authenticatie proces”|link=Digitale authenticatie van natuurlijke personen bij afname van overheidsdiensten]]  
* De authoritieve bron draagt zorg voor een centrale vastlegging van de gegevens waartegen geauthentiseerd wordt.  ( Zie [[Identiteitenbeheer#Gezamenlijk dienstverleningsproces]] )
 
  
'''De afnemer'''
+
Toelichting:
* De afnemer kan zelf een keus maken uit de door de dienstleverancier ondersteunde authenticatiemethoden/middelen voor die dienst. De afnemer zal zelf voor een geaccepteerd authenticatie middel moeten zorgen.  
+
* De handeling met de informatie betreft het onderscheid tussen informatie inzien en wijzigen.
* De afnemer wil ook zekerheid hebben dat de dienstleverende partij wel de partij is die het zegt dat het is. (authentiseren van de dienstleverancier).
+
* De positie van de handeling in het proces van dienstgebruik. Niet voor alle handelingen binnen een dienst is altijd hetzelfde betrouwbaarheidsniveau vereist.  
 +
* De juridische impact van informatie betreft de potentiële rechtsgevolgen van gebruik van de dienst. I.e. is het iets waar zowel de overheid als de natuurlijke personen rechten aan kunnen ontlenen. Hierbij kan ook worden meegewogen of het rechtsgevolg onherroepelijk is.
 +
* De risico's betreffen het belang als er misbruik van de informatie wordt gemaakt door derden. Hieronder valt zowel het voordoen als de dienstafnemer (identiteitsfraude) als het gebruiken van informatie die niet had mogen worden ingezien.
  
 +
De bij grondslagen genoemde handreikingen bieden op dit moment een beperkte bruikbaarheid. Organisatie moeten daarom specifiek nadenken op het niveau van handelingen tijdens het afnemen van de dienst:
 +
* Wanneer zijn aanvullende maatregelen nodig bij authenticatie binnen een dienst (in de vorm van extra verificaties tijdens afname van de dienst)? Door passende aanvullende maatregelen binnen de dienst te implementeren kan een lager betrouwbaarheidsniveau gehanteerd worden. Zie ook de door het Forum Standaardisatie benoemde Risico Verhogende Factoren.
 +
* Wanneer zijn lichtere maatregelen mogelijk (draagt bij aan gebruikersgemak). Hierbij zou een niveau-1 middel zoals gedefinieerd in binnen ISO 29115 een rol kunnen spelen. Zie ook de door het Forum Standaardisatie benoemde Risico Verlagende Factoren.
 +
* De authoratieve bron van de identiteit; voor Nederlandse burgers is dat de BRP; bij buitenlanders is de betrouwbaarheid van de bron soms lager dan van het BRP.
 +
* Zijn er natuurlijke personen die van de dienst gebruik MOETEN kunnen maken maar geen van de toegestane authenticatie middelen hebben?
  
==Informatielaag==
+
Er zijn richtlijnen die hierbij kunnen helpen
De informatiestromen bij authenticatie zijn afhankelijk van de doelgroep van de dienst, reden waarom een authenticatie uitgevoerd moet worden en de vereisten vanuit de dienstverlener waaraan de authenticatie moet voldoen.
+
* [https://www.forumstandaardisatie.nl/sites/bfs/files/atoms/files/Betrouwbaarheidsniveaus_voor_digitale_dienstverlening_v4.PDF/ Betrouwbaarheidsniveaus_voor_digitale_dienstverlening] (Forum Standaardisatie)
Onderstaande plaat geeft een eerste opzet hiervoor. Per usecase kan de informatie specifieker gemaakt worden.
+
* [https://regelhulpenvoorbedrijven.nl/betrouwbaarheiddigitaledienstverlening/ Regulhulp Betrouwbaarheids­niveaus voor digitale dienstverlening ](Forum Standaardisatie)
 +
*  [https://www.eherkenning.nl/aansluiten-op-eherkenning/betrouwbaarheidsniveaus/bepalen-van-juiste-niveau/voorbeelden-van-diensten Voorbeelden van diensten en betrouwbaarheidsniveaus] (eHerkenning).
 +
 
 +
NB: Er is een breed geaccepteerde exceptie m.b.t. het gebruik van DigiD: diensten staan authenticatie met DigiD niveau 2+ toe zolang niveau 3+4 middelen nog niet wijd verspreid zijn onder de Nederlandse bevolking. Dit is in lijn met de adviezen vanuit het Forum Standaardisatie.  
 +
 
 +
Onderstaande tabel geeft aan welke attributen bij welk authenticatiemiddel worden overgedragen en wat de betrouwbaarheidsniveau's zijn. Het betrouwbaarheidsnivea wordt sterk bepaald door het uitgifte proces. Hierdoor kan gebruikersnaam+wachtwoord+SMS zowel een EH2 als EH3 niveau leveren.  
 +
<table>
 +
  <tr><table class="wikitable">
 +
    <th>&nbsp;
 +
    <th>Betrouwbaarheidsniveau's
 +
    <th>Attributen
 +
    <th>Optionele attributen
 +
  <tr>
 +
    <td>[[DigiD]]
 +
    <td>Basis (gebruikersnaam+wachtwoord)<br>Midden (DigiD App of gebruikersnaam+wachtwoord+SMS)<br>Substantieel (ID check op paspoort, rijbewijs of identiteitskaart)<br>Hoog (PKI certificaat)
 +
    <td>BSN Nummer
 +
    <td>Bij machtigen<br>-dienst<br>-vertegenwoordigde
 +
  <tr>
 +
    <td>[[EHerkenning | eHerkenning]] (personen)
 +
    <td>EH 1(gebruikersnaam, wachtwoord)<br>EH 2(gebruikersnaam, wachtwoord)<br>EH2+ (gebruikersnaam, wachtwoord, SMS)<br>EH3 (gebruikersnaam, wachtwoord, SMS/pincode)
 +
    <td>
 +
    <td>
 +
  <tr>
 +
    <td>[[EIDAS verordening | eIDAS]] <!--bron: ICTU Factsheet eIDAS-1 -->
 +
    <td>
 +
    <td>Identificatiecode<br>huidige familienaam(en)<br>huidige voornaam(en)<br>geboortedatum
 +
    <td>familienaam(en) bij geboorte<br>voornaam(en) bij geboorte<br>huidig adres<br>geslacht
 +
</table>
  
[[Afbeelding:authenticatie informatielaag .png|thumb|none|750px|Authenticatie informatielaag|alt=”schematische beschrijving van verschillende stakeholders in het authenticatie proces”|link=Digitale authenticatie van natuurlijke personen bij afname van overheidsdiensten]]
+
De details van de uitgifte processen binnen de stelsels verschillen onderling waardoor een exacte vergelijking van de niveau's van de middelen niet te maken is. Onderstaande tabel geeft een indicatie van vergelijkbaarheid van de authenticatiemiddelen.
 
 
  
Usecase met betrekking tot authenticatie
+
<table class="wikitable">
* Bevestig deze mij al bekende identiteit.
+
  <tr><td>EH1 <td>-
- Ik weet al met wie ik te maken heb, maar ik wil het nu wel even zeker weten of dat zo is.
+
  <tr><td>EH2 <td>-
* Bevestig deze mij nog niet bekende identiteit.
+
  <tr><td>EH2+ <td> eIDAS basis
- Ik weet nog niet met wie ik te maken heb, maar als jij dat nu even met zekerheid uitzoekt, dan hoef ik niet zoveel werk te doen.
+
  <tr><td>EH3 <td> eIDAS substantieel
* Bevestig deze identiteit met tenminste dit betrouwbaarheidsniveau
+
  <tr><td>EH4 <td> eIDAS hoog
- Ik weet al met wie ik te maken heb, maar ik wil nu meer zekerheid hebben. Minimaal op het gevraagde betrouwbaarheidsniveau.
+
</table>
* Bevestig deze identiteit met dit specifieke middel ( en betrouwbaarheidsniveau)
 
- Ik weet al met wie ik te maken heb, maar ik wil het zeker weten en ik heb een contract met deze middelen verstrekker/authenticatie uitvoerder.
 
* Bevestig deze identiteit waarbij ik ook graag deze bijbehorende attributen wil hebben.
 
- (het is mooier om eerst de authenticatie te doen en daarna met de gevalideerde identificerend gegeven de extra attributen op te vragen bij de bron van die attributen. vanuit efficiëntie kan dit technisch samengevoegd worden.)
 
  
 +
==Applicatielaag==
  
Doelgroep: natuurlijke personen bij digitale interactie  met de Nederlandse Overheid.
+
Deze pagina richt zich op de behoeftes vanuit dienstafnemers. Omdat er in bijna alle geval gebruik gemaakt wordt van authenticatiediensten wordt deze sectie voorlopig leeg gelaten.  
  
''(NB: De kaders en processen rond het beheer en gebruik van fysieke authenticatiemiddelen (waaronder Nederlandse en Buitenlandse paspoorten) en de visuele controle ervan worden als gegeven beschouwd. De beperking tot Nederlandse Overheid hangt samen met de scope van de NORA.)
 
''
 
{| class="wikitable"
 
! Authenticatie middle !! Autoritatieve bron !! betrouwbaarheidsniveau !! Middel uitgever !! Bevestigd identificerden gegeven !! attribuutlijst
 
|-
 
| DIGID || BRP || Basis/midden/substanstieel || logius || BSN ||
 
|-
 
| X.509 Persoonlijk certificaat || BRP ( via WID ) ? ||  ||  ||  ||
 
|-
 
| passpoort (chip) || BRP ||  ||  ||  ||
 
|-
 
| eidas geaccrediteerde middelen || (referentie lijst) ||  ||  ||  ||
 
|-
 
|}
 
  
TO DO
 
==Applicatielaag==
 
TO DO
 
  
 
==Netwerklaag==
 
==Netwerklaag==
  
===Koppelvlakken===
+
Deze pagina richt zich op de behoeftes vanuit dienstafnemers. Omdat er in bijna alle geval gebruik gemaakt wordt van authenticatiediensten en de netwerklaag inrichting per authenticatiedienst kan verschillen wordt deze sectie voorlopig leeg gelaten.
Zie ook: [https://afsprakenstelsel.etoegang.nl/display/as/Interface+specifications/ Afsprakenstelsel Interface + Specifications]
+
 
 +
 
 +
== Authenticatie binnen een proces (Praktijkvoorbeeld) ==
 +
Dit is een uitwerking die uitlegt hoe authenticatie in de praktijk plaats ongeveer plaats vindt. Hij is gebaseerd op het aanvragen door een burger van een kapvergunning bij een grote gemeente in de Randstad medio 2019.  
  
[[Afbeelding:koppelvlak overzicht.png|thumb|none|750px|Koppelvlak overzicht|alt=”schematische beschrijving van de netwerklaag bij het authenticatie proces”|link=Digitale authenticatie van natuurlijke personen bij afname van overheidsdiensten]]
+
<table class="wikitable">
+
  <tr>
De SAML + en SAML ++ koppelvlakken uit bovenstaand figuur zijn niet gestandaardiseerd. Het zijn ‘eigen’ invullingen van de SAML Metadata Extensions. Interoperabiliteit van deze implementaties is een vraagstuk.
+
    <th>Handelingen
====Koppelvlak DigiD CGI====
+
    <th>Toelichting
Nog flink aantal gemeenten zijn aangesloten op dit oorspronkelijke DigiD koppelvlak, gebaseerd op een oude standaard. Dit koppelvlak is ‘end of life’. Het is de bedoeling dat gemeenten overstappen naar een nieuw koppelvlak. De vraag is welke keuze deze gemeenten moeten maken. Aansluiten op het DigiD SAML-koppelvlak of wachten op de routeringsvoorziening? En welk koppelvlak van de routeringsvoorziening moet men dan implementeren? Aansluiten op het huidige DigiD SAML-koppelvlak of wachten op de beschikbaarheid van het OIDC-koppelvlak, omdat dan pas andere toegangsdiensten via de routeringsvoorziening worden ontsloten?
+
  <tr>
====Koppelvlak DigiD SAML====
+
    <td>De burger bezoekt de website van de gemeente.
Het huidige DigiD SAML koppelvlak is substantieel en hoog bestendig en als dusdanig ook beproeft in de DigiD-Hoog pilot van 2017. Het DigiD SAML koppelvlak biedt geen ondersteuning voor machtigingen.
+
    <td>Dit is openbare informatie; de gemeente vraagt niet aan de gebruiker om zich te authenticeren.
====Koppelvlak routeringsvoorziening Logius (Identity Bridge van de Belastingdienst in 'plus versie')====
+
  <tr>
De routeringsvoorziening start met het DigiD SAML-koppelvlak. Hierop komen DigiD en eIDAS (met alleen BSN, dus zonder attributen) beschikbaar. Er wordt gewerkt aan de definitie van een OIDC-koppelvlak waarmee aanvullende attributen, machtigen en aanvullend middel(en) kunnen worden ontsloten. De planning hiervan is niet duidelijk. Er is een globale fasering weergegeven over de komende jaren.
+
    <td>De burger heeft de informatie gelezen en klikt op een link om de aanvraag te starten. De gebruiker wordt doorgeleid naar het omgevingsloket en moet zich daar authenticeren met een DigiD (app of gebruikersnaam+wachtwoord).  Vervolgens vult hij zijn aanvraag in, voegt bijlagen toe en verzend de aanvraag. Bij de aanvraag zijn contactgegevens (email en telefoonnummer) ingevuld.  
 +
    <td>
 +
Het doen van de aanvraag is een handeling met rechtsgevolgen; daarom wordt formele authenticatie vereist DigiD
 +
waarbij DigiD 2 het minimale betrouwbaarheidsniveau is (gebruikersnaam+wachtwoord).  
  
====Koppelvlak routeringsvoorziening TVS====
+
Het omgevingsloket ondersteunt meerdere authenticatiemiddelen:
Het zorgveld beproefd een eigen routeringsvoorziening, de TVS. De TVS maakt gebruik van een SAML-'plus' koppelvlak. Een specifiek voor de TVS ontwikkeld koppelvlak op basis van SAML. Dit koppelvlak maakt het mogelijk om naast DigiD, ook andere middelen en machtigen te ontsluiten.
+
# DigiD app (niveau 2 + ID check = 2 slotjes)
====Koppelvlak DigiD Machtigen====  
+
# DigiD app (niveau 2 = 1 slotje)
Het huidige DigiD Machtigen bestaat al een tijd en kent een eigen koppelvlak gebaseerd op SAML. Hiervan is aangegeven dat dit koppelvlak ‘end of life’ is. Bij de introductie van de nieuwe machtigingsvoorziening (het stelsel van vertegenwoordiging, met een nieuw koppelvlak) wordt dit bestaande koppelvlak op termijn uitgefaseerd. Het bestaande koppelvlak is namelijk niet geschikt om de nieuwe functionele toepassingen van het nieuwe stelsel te ontsluiten richting de gemeente. Het advies is derhalve hier nu al niet meer op aan te sluiten, tenzij zeer weloverwogen en met urgent belang. Waar moet een gemeente dan wel op aansluiten om snel aan de slag te kunnen met machtigen? Direct op het nieuwe koppelvlak voor machtigen, of wachten op de routeringsvoorziening? Wanneer ontsluit die routeringsvoorziening machtigen? Hierover is al aangegeven dat dit alleen wordt ontsloten via het nieuwe koppelvlak op de routeringsvoorziening gebaseerd op de OIDC-standaard. Vooralsnog is er voor machtigen geen alternatief voor handen anders dan het terug vallen op een papieren proces.
+
# DigiD gebruikersnaam/wachtwoord (niveau 2 zonder SMS)
====Koppelvlak 'stelsel van vertegenwoordiging' (de nieuwe machtigingsvoorziening)====
+
# eIDAS (niveau 3/4)
Aansluiten op het stelsel van vertegenwoordiging kan op termijn op de zogenoemde 'Bevoegdheidsverklaringsdienst'. Hiervoor wordt een eigen SAML-koppelvlak ontwikkeld. Voor pilotdoeleinden komt een eerste versie in 2019 beschikbaar. Later volgen ook de specificaties voor een OIDC-koppelvlak is de planning. Partijen kunnen dan mogelijk kiezen welk koppelvlak men toepast.
+
# Lokale account voor mensen zonder digitaal inlogmiddel.
Onbekend is of beide koppelvlakken straks volledig dezelfde functionaliteit ondersteunen en hoe lang het SAML-koppelvlak wordt ondersteund. De beide routeringsvoorzieningen kunnen ook aansluiten op dit koppelvlak (SAML en later ook OIDC), waardoor aangesloten partijen op de routeringsvoorziening alleen het koppelvlak van de routeringsvoorziening hoeven te implementeren (en zich niet meer druk hoeven te maken om het koppelvlak van de bevoegdheidsverklaringsdienst). Alleen: wanneer is dit beschikbaar en kan/wil men hierop wachten? (met het risico dat het OIDC-koppelvlak op de routeringsvoorziening veel langer op zich laat wachten dan voorspelt).
 
====Koppelvlak ETD====
 
Het afsprakenstelsel Elektronische Toegangsdiensten kent een eigen, op SAML gebaseerd, koppelvlak. Het zou goed zijn om te onderzoeken of hergebruik kan worden gemaakt van deze koppelvlakdefinities. Is het logisch om de makelaars binnen het ETD een ander koppelvlak te laten ondersteunen dan de routeringsvoorziening(en) en de machtigingsregisters een ander koppelvlak dan de machtigingsvoorziening (stelsel van vertegenwoordiging)? Over de ETD-koppelvlakken is al goed nagedacht en zijn bovendien breed geïmplementeerd (ook bij gemeenten). Alleen kent ETD nog geen concrete plannen om over te stappen op de OIDC-standaard, wat wel weer de strategie is bij de andere genoemde voorzieningen.
 
  
 +
  <tr>
 +
    <td>De gemeente heeft vragen en stelt deze per mail en telefoon
 +
    <td>De medewerker van de gemeente authenticeert de persoon op basis van de 3 bekende gegevens (casenummer, emailadres/telefoonnummer) om het risico op identiteitsfraude te vermijden. <br>De hier uitgewisselde informatie heeft geen rechtsgevolg; extra bijlagen moeten wel via het omgevingsloket worden toegevoegd.
 +
  <tr>
 +
    <td>De gemeente wil hiervoor een bidirectionele berichtenbox gebruiken waarop de gebruiker toegang krijgt met DigiD. <br>In de tussentijd gebruikt de gemeente een veilig-mailen dienst. De gebruiker ontvangt zowel een link per mail als een SMS met een code. Hierbij worden de in de aanvraag vastgelegde contactgegevens gebruikt.
 +
    <td>De informatie heeft een rechtsgevolg dus authenticatie is vereist. Bij de tussentijdse oplossing is er sprake van 2-factor authenticatie waarbij de gemeente feitelijk het uitgifte proces doet. Het betrouwbaarheidsniveau is hierbij niet gestandaardiseerd.
 +
</table>
 +
----
 
<references />
 
<references />

Huidige versie van 22 okt 2020 om 16:23

Schematische weergave van de processen die vallen binnen Identity & Access Management. Linksonder de afnemer die toegang wil tot dienst D, met een zwarte pijl naar de paarse cirkel Toegang verlenen. Rechts de dienst, met een zwarte pijl terug naar toegang verlenen, waarbij staat: Toegangseisen van dienst D zijn: 1 Zekerheid Z over de juistheid van ID, 2 ID moet bevoegd zijn, 3 eventuele andere eisen. Vervolgens lopen vier paarse pijlen uit de cirkel toegang verlenen, met tekst per pijl (v.l.n.r.): 1 Wie is dit? 2 Wat mag ID? 3 Hier checken we andere eisen. 4 Voldoet ID aan eisen, dan krijgt die toegang, anders niet. Pijl 1 (Wie is dit?) verwijst naar een lichtblauwe cirkel Identiteitenbeheer, via de tekst Authenticatiemiddel. In de blauwe cirkel staat: - Personen - Computers - Apps - Dingen (IOT). In de rand van de cirkel staat rechtsonder: Levert digitale identiteiten. Pijl 2, met de tekst "Wat mag ID?" leidt naar een oranje cirkel boven toegang verlenen met de tekst "Bevoegdhedenbeheer". Naar deze cirkel verwijst een blauwe pijl vanaf link met de tekst "Levert digitale identiteiten." Een zwarte pijl wijst vanaf Bevoegdhedenbeheer naar Toegang verlenen met de tekst 'ID is wel/niet bevoegd voor Dienst D." Binnen in de oranje cirkel Bevoegdhedenbeheer is een gele cirkel Machtigen. Een tweede paarse pijl leidt van Toegang verlenen naar de Dienst, met de tekst "Voldoet ID aan eisen, dan krijgt die toegang, anders niet." Pijl 3, (Hier checken we andere eisen) leidt naar een wolk. Pijl 4, (Voldoet ID aan eisen, dan krijgt die toegang, anders niet) leidt naar de dienst.
Deze pagina is onderdeel van het thema
Identity & Access Management (IAM)

Authenticatie van de digitale identiteit

Aanpak

Binnen de NORANederlandse Overheid Referentie Architectuur Expertgroep Digitale identificatie en authenticatie is de behoefte geuit aan een verbetering van de teksten op het gebied van Authenticatie van Natuurlijke Personen[1]. Deze pagina bevat een eerste, nog onvolledige, uitwerking daarvan.

Het streven is om een structuur neer te zetten die inzichtelijk maakt welke aspecten beschreven moeten worden en om deze structuur te vullen met teksten die bruikbaar zijn voor mensen met weinig kennis en ervaring met het onderwerp Authenticatie.

Verdere uitwerking van dit document zal in de toekomst opgepakt gaan worden. Voor nu beperken we de uitwerking tot de bevestiging van een digitale identiteit van een natuurlijke personen bij digitale interactie met de Nederlandse Overheid.

(NB: De kaders en processen rond het beheer en gebruik van fysieke authenticatiemiddelen (waaronder Nederlandse en Buitenlandse paspoorten) en de visuele controle ervan worden als gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat beschouwd. De beperking tot Nederlandse Overheid hangt samen met de scope van de NORANederlandse Overheid Referentie Architectuur.)


De dienst authenticatie

Authenticatie is gedefinieerd als: Het proces waarbij op basis van één of meer Authenticatiefactoren wordt geverifieerd of de Identiteit die door de Entiteit geclaimd, ook daadwerkelijk behoord bij betreffende Identiteit op het aangegeven betrouwbaarheidsniveau. Authenticatie noemt men ook wel verificatie van de identiteit.

In de praktijk betekent authenticatie dat de handelende identiteit (bijv. een natuurlijke persoon), tijdens het afnemen van een (digitale) dienst bij een dienstaanbieder, moet kunnen aantonen dat wat zijn identiteit is. Dit wordt vaak gedaan met een authenticatiemiddel dat in het bezit is van de handelende identiteit en dat door de dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) vertrouwd wordt omdat het is uitgegeven door een vertrouwde (zich zelf of een derde) partij.

Authenticatie bij een overheidsdienst (die meestal in de vorm van een webdienst beschikbaar gesteld worden) vindt als volgt in de praktijk plaats: De natuurlijke persoon bezoekt de digitale dienst. Als de dienst authenticatie nodig vindt, dan wordt de gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem gevraagd om zijn identiteit aan te geven door het gebruik van een vertrouwde authenticatiedienst. Als de overheidsdienst meerdere authenticatiemiddelen ondersteund met de minimaal vereiste betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. dan ligt de keuze voor het middel bij de gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem. Het uitlezen van de gegevens uit een wettelijk identiteitsbewijs kan ook worden gezien als een authenticatiedienst.

Als voorbeeld:
Ik kan als burger met een BSN (identiteit) berichten lezen
in de door Logius (dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers)) gefaciliteerde berichtenbox op MijnOverheid.nl (dienst)
door mij te authenticeren met mijn DigiD (authenticatiemiddel)
die door Nederlandse staat (vertrouwde partij) is uitgeven.

De ontwikkeling van kaders en middelen voor authenticatie bij overheidsdiensten hebben zich de afgelopen jaren geconcentreerd op "zware" diensten waarbij er een rechtsgevolg relevant is. Er zijn echter vele (lichtere) diensten die daar niet aan voldoen; hier zijn echter nog geen standaarden voor en derhalve ook weinig bijbehorende authenticatiediensten. Dit heeft tot gevolg dat een dienstaanbieder per dienst zowel het betrouwbaarheidsniveau zal moeten bepalen als ook de bijbehorende techniek zal moeten invullen. Enkele voorbeelden van dit soort diensten zijn:

  • Melding doen van verstoringen in de openbare ruimte (kapotte lantarenpaal, losse stoeptegel, etc)
  • Gebruik van gasten wifi netwerken in overheidspanden


Grondslagenlaag

Voor het gebruik van digitale diensten bij de overheid geldt dat voor een deel van de handelingen daarbij bij wet is geregeld op welke manieren en met welke minimale betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. de persoon zich moet authenticeren om van een dienst gebruik te kunnen maken. Het belang van de overheidsorganisatieNORA doelt met het begrip 'overheidsorganisaties' zowel op overheden als op semi-overheid- en private organisaties met een publieke taak. is hierbij dat zij de identiteit van de betrokken persoon met voldoende nauwkeurigheid kan vaststellen. In de niet-digitale wereld zijn hiervoor kaders beschikbaar; voor het gebruik van overheidsdiensten zou het voor de authenticatie niet moeten uitmaken of het gebruik in de digitale en niet-digitale wereld plaats vindt.

Uitgangspunt: De digitale authenticatie bij het afnemen van een dienst via een digitaal kanaalCommunicatiekanaal dat bij de dienstverlening wordt gebruikt. Elk kanaal kent verschillende vormen waarin informatie kan worden gedeeld. dient van een gelijk betrouwbaarheidsniveau te zijn als het authenticatie die nodig is om de dienst via een niet digitale weg af te nemen.

De in de wet genoemde middelen om de identiteit van personen vast te stellen zijn door hun fysieke karakter nauwelijks geschikt voor authenticatie bij overheidsdiensten door het ontbreken bij natuurlijke personen van middelen om de identiteit (zoals op de RFC chip) zijn opgeslagen over te dragen aan een digitale dienst (die meestal in de vorm van een webdienst wordt aangeboden). Er zijn daarom andere authenticatie middelen geïntroduceerd om een natuurlijk persoon gebruik te laten maken van digitale diensten. Een voorbeeld waarin het wel direct gebruikt wordt zijn de grenscontrole systemen op Schiphol waarbij het gepresenteerde paspoort wordt uitgelezen en de gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem op basis daarvan geauthenticeerd wordt.

Er zijn op dit moment verschillende authenticatiemiddelen technisch beschikbaar, enkele voorbeelden hiervan zijn DigiD, iDin; ook kunnen Google+ ID of Facebook ID gezien worden als authenticatiemiddel. Deze middelen variëren in de mate van betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. waarmee ze de natuurlijke persoon identificeren. De overheid stelt per dienst eisen op aan het betrouwbaarheidsniveau en vertaalt dit naar de authenticatiemiddelen die zijn toestaat. Het uitgifte proces van deze middelen bepaalt de zekerheid waarmee de identiteit in het digitale middel overeenkomt met zijn identiteit als natuurlijk persoon. Het betrouwbaarheidsniveau van een authenticatiemiddel komt overeen met een mate van zekerheid. Verschillen in uitgifte processen leiden tot verschillen in betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid..

Bij gebruik van overheidsdiensten op een niet-digitale wijze vraagt de overheid aan de persoon om zijn identiteit aan te tonen met een wettelijk identiteitsbewijs (paspoort, rijbewijs, etc). In lijn met het hierboven genoemde uitgangspunt maken de uitgifte processen van digitale authenticatiemiddelen gebruik van deze wettelijke identiteitsbewijzen. Het digitale authenticatiemiddel fungeert daarbij als een digitaal equivalent van het identiteitsbewijs.

Identificatie en BSN
Wet algemene bepalingen burgerservicenummer
Wet op de identificatieplicht (Artikel 1)
Betrouwbaarheidsniveau
Betrouwheidsniveaus Afsprakenstelsel Electronische Toegangsdiensten
Handreiking Betrouwbaarheidsniveau vanuit Forum Standaardisatie
Betrouwbaarheidsniveaus voor digitale dienstverlening van Forum Standaardisatie (hoofdstuk 3.3)
NEN-ISO/IEC 29115:2013 Information technology - Security techniques - Entity authentication assurance framework

Er zijn op dit moment twee en in de toekomst meerdere stelsels die gebruik kunnen worden voor authenticatie van natuurlijke personen. In de tabel is Idensys niet opgenomen omdat de pilot daarmee in 2018 is gestopt. STORK / ISO29015 is niet opgenomen omdat deze grotendeels opgevolgd zijn door eIDAS. Het is de verwachting dat de Wet Digitale Overheid aanvullende authenticatiemiddel zal gaan toestaan'; met iDIN als een van de kandidaten.

DigiD
Digid Wet- en regelgeving
Regeling voorzieningen GDI (hoofdstuk 3)
EHerkenning
Afsprakenstelsel Juridisch kader
Afsprakenstelsel Technische specificaties en procedures voor uitgifte van authenticatiemiddelen
eIDAS
VERORDENING (EU) Nr. 910/2014 VAN HET EUROPEES PARLEMENT EN DE RAAD
private middelen (WDO)
Wet digitale overheid aangenomen door Tweede Kamer (op 18 februari 2020)

Natuurlijke personen identificeren zich op dit moment uitsluitend met hun BSN (mogelijk gaat dit door de WDO veranderen). Voor het BSN geldt dat deze alleen gebruikt mag worden als de wetgever dit expliciet heeft bepaald. Op wetten.nl zijn daarom meerdere regelingen die voor een dienst het gebruik van DigiD verplicht stellen.

Organisatielaag

Er zijn verschillende organisatiemodellen die gebruikt worden bij authenticatie. De meeste uitgebreide is die van het Afsprakenstelsel Electronische Toegang (eHerkenning); deze staat hieronder beschreven. De tabel eronder legt de relatie met de andere authenticatie middelen.

”schematische beschrijving van verschillende takeholders in het authenticatie proces”
Dienstafnemer Gebruiker van de dienst. Hier: natuurlijk persoon die een dienst afneemt van de overheid. De Dienstafnemer kan zelf een keus maken uit de door de dienstleverancier ondersteunde authenticatiemethoden/middelen voor een dienst. De afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. zal zelf voor een geaccepteerd authenticatie middel moeten zorgen door deze bij een Middelenuitgever aan te vragen.
Dienstverlener (DV) De dienstaanbieder is een (overheids) organisatie die een dienst aanbied, waarbij authenticatie van de dienstafnemer van belang is. De dienst kan geleverd worden door de dienstaanbieder zelf uitbesteed zijn aan een dienstaanbeider (DA). De dienstaanbieder bepaalt wanneer authenticatie nodig is en het betrouwbaarheidsniveau daarbij. Zie bij XXX perspectief.
Authenticatiemiddel Een fysiek of digitaal middel op grond waarvan authenticatie van een gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem kan plaatsvinden; i.e. een drager van een Digitale Identiteit met een vastgesteld betrouwbaarheidsniveau
Middelenuitgever (MU) Organisatie die authenticatiemiddelen uitgeeft conform het vereiste betrouwbaarheidsniveau. Hij controleert bij het uitgeven van het middel de identiteit(gegevens) van de afnemerDe persoon of organisatie die een dienst in ontvangst neemt. Dit kan een burger, een (medewerker van een) bedrijf of instelling dan wel een collega binnen de eigen of een andere organisatie zijn. tegen een autoritatieve Bron. Indien de dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) een eigen middel gebruikt is de Middelenuitgever daarmee ook de Authenticatiedienst.
Basisregister
(Autoratieve Bron)
De bron waaruit de attributen op het Authenticatiemiddel afkomstig zijn.
Authenticatiedienst (AD) De organisatie die op verzoek van de dienstaanbieder de feitelijke authenticatie uitvoert en daarbij controleert of het authenticatiemiddel (dat door de dienstafnemer is gepresenteerd) nog valide is. Indien nodig kan de autoritatieve bron geraadpleegd worden. Indien de dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) een eigen middel gebruikt is de Authenticatiedienst ook de Middelenuitgever.

Dit generieke model kent op dit moment (medio 2020) de onderstaande invullingen.

  Middelenuitgever Basisregister Authenticatiedienst
DigiD Logius BRP (Basisregistratie Personen) Logius
eHerkenning Meerdere marktpartijen NHR (Basisregistratie Handelsregister) Meerdere marktpartijen
eIDAS land specifiek land specifiek NL eIDAS node

Informatielaag

De informatielaag bevat 3 deelgebieden

  • InformatieBetekenisvolle gegevens. binnen de afgenomen dienst. Authenticatie is een van de onderdelen van de adequate beveiliging van deze informatie. Zowel de karakteristieken van de informatie als de handelingen die met de informatie gedaan (inzien, wijzigen) worden bepalen het gewenste betrouwbaarheidsniveau en limiteert de keuze aan beschikbare authenticatiemiddelen.
  • InformatieBetekenisvolle gegevens. binnen de het basisregister.
  • InformatieBetekenisvolle gegevens. binnen het authenticatie middel afkomstig uit de authentieke bron. Deze informatie wordt bij authenticatie overgedragen aan de dienstafnemer. Op dit punt zijn er verschillen tussen de authenticatiemiddelen.
”schematische beschrijving van verschillende takeholders in het authenticatie proces”

Toelichting:

  • De handeling met de informatie betreft het onderscheid tussen informatie inzien en wijzigen.
  • De positie van de handeling in het proces van dienstgebruik. Niet voor alle handelingen binnen een dienst is altijd hetzelfde betrouwbaarheidsniveau vereist.
  • De juridische impact van informatie betreft de potentiële rechtsgevolgen van gebruik van de dienst. I.e. is het iets waar zowel de overheid als de natuurlijke personen rechten aan kunnen ontlenen. Hierbij kan ook worden meegewogen of het rechtsgevolg onherroepelijk is.
  • De risico's betreffen het belang als er misbruik van de informatie wordt gemaakt door derden. Hieronder valt zowel het voordoen als de dienstafnemer (identiteitsfraude) als het gebruiken van informatie die niet had mogen worden ingezien.

De bij grondslagen genoemde handreikingen bieden op dit moment een beperkte bruikbaarheid. Organisatie moeten daarom specifiek nadenken op het niveau van handelingen tijdens het afnemen van de dienst:

  • Wanneer zijn aanvullende maatregelen nodig bij authenticatie binnen een dienst (in de vorm van extra verificaties tijdens afname van de dienst)? Door passende aanvullende maatregelen binnen de dienst te implementeren kan een lager betrouwbaarheidsniveau gehanteerd worden. Zie ook de door het Forum Standaardisatie benoemde Risico Verhogende Factoren.
  • Wanneer zijn lichtere maatregelen mogelijk (draagt bij aan gebruikersgemak). Hierbij zou een niveau-1 middel zoals gedefinieerd in binnen ISO 29115 een rol kunnen spelen. Zie ook de door het Forum Standaardisatie benoemde Risico Verlagende Factoren.
  • De authoratieve bron van de identiteit; voor Nederlandse burgers is dat de BRP; bij buitenlanders is de betrouwbaarheidDe mate waarin de organisatie zich voor de informatievoorziening kan verlaten op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is daarmee de verzamelterm voor de begrippen beschikbaarheid, integriteit en vertrouwelijkheid. van de bron soms lager dan van het BRP.
  • Zijn er natuurlijke personen die van de dienst gebruik MOETEN kunnen maken maar geen van de toegestane authenticatie middelen hebben?

Er zijn richtlijnen die hierbij kunnen helpen

NB: Er is een breed geaccepteerde exceptie m.b.t. het gebruik van DigiD: diensten staan authenticatie met DigiD niveau 2+ toe zolang niveau 3+4 middelen nog niet wijd verspreid zijn onder de Nederlandse bevolking. Dit is in lijn met de adviezen vanuit het Forum Standaardisatie.

Onderstaande tabel geeft aan welke attributen bij welk authenticatiemiddel worden overgedragen en wat de betrouwbaarheidsniveau's zijn. Het betrouwbaarheidsnivea wordt sterk bepaald door het uitgifte proces. Hierdoor kan gebruikersnaam+wachtwoord+SMS zowel een EH2 als EH3 niveau leveren.

  Betrouwbaarheidsniveau's Attributen Optionele attributen
DigiD Basis (gebruikersnaam+wachtwoord)
Midden (DigiD App of gebruikersnaam+wachtwoord+SMS)
Substantieel (ID check op paspoort, rijbewijs of identiteitskaart)
Hoog (PKI certificaat)
BSN Nummer Bij machtigen
-dienst
-vertegenwoordigde
eHerkenning (personen) EH 1(gebruikersnaam, wachtwoord)
EH 2(gebruikersnaam, wachtwoord)
EH2+ (gebruikersnaam, wachtwoord, SMS)
EH3 (gebruikersnaam, wachtwoord, SMS/pincode)
eIDAS Identificatiecode
huidige familienaam(en)
huidige voornaam(en)
geboortedatum
familienaam(en) bij geboorte
voornaam(en) bij geboorte
huidig adres
geslacht

De details van de uitgifte processen binnen de stelsels verschillen onderling waardoor een exacte vergelijking van de niveau's van de middelen niet te maken is. Onderstaande tabel geeft een indicatie van vergelijkbaarheid van de authenticatiemiddelen.

EH1 -
EH2 -
EH2+ eIDAS basis
EH3 eIDAS substantieel
EH4 eIDAS hoog

Applicatielaag

Deze pagina richt zich op de behoeftes vanuit dienstafnemers. Omdat er in bijna alle geval gebruik gemaakt wordt van authenticatiediensten wordt deze sectie voorlopig leeg gelaten.


Netwerklaag

Deze pagina richt zich op de behoeftes vanuit dienstafnemers. Omdat er in bijna alle geval gebruik gemaakt wordt van authenticatiediensten en de netwerklaag inrichting per authenticatiedienst kan verschillen wordt deze sectie voorlopig leeg gelaten.


Authenticatie binnen een proces (Praktijkvoorbeeld)

Dit is een uitwerking die uitlegt hoe authenticatie in de praktijk plaats ongeveer plaats vindt. Hij is gebaseerd op het aanvragen door een burger van een kapvergunning bij een grote gemeente in de Randstad medio 2019.

Handelingen Toelichting
De burger bezoekt de website van de gemeente. Dit is openbare informatie; de gemeente vraagt niet aan de gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem om zich te authenticeren.
De burger heeft de informatie gelezen en klikt op een link om de aanvraag te starten. De gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem wordt doorgeleid naar het omgevingsloket en moet zich daar authenticeren met een DigiD (app of gebruikersnaam+wachtwoord). Vervolgens vult hij zijn aanvraag in, voegt bijlagen toe en verzend de aanvraag. Bij de aanvraag zijn contactgegevens (email en telefoonnummer) ingevuld.

Het doen van de aanvraag is een handeling met rechtsgevolgen; daarom wordt formele authenticatie vereist DigiD waarbij DigiD 2 het minimale betrouwbaarheidsniveau is (gebruikersnaam+wachtwoord).

Het omgevingsloket ondersteunt meerdere authenticatiemiddelen:

  1. DigiD app (niveau 2 + ID check = 2 slotjes)
  2. DigiD app (niveau 2 = 1 slotje)
  3. DigiD gebruikersnaam/wachtwoord (niveau 2 zonder SMS)
  4. eIDAS (niveau 3/4)
  5. Lokale account voor mensen zonder digitaal inlogmiddel.
De gemeente heeft vragen en stelt deze per mail en telefoon De medewerker van de gemeente authenticeert de persoon op basis van de 3 bekende gegevens (casenummer, emailadres/telefoonnummer) om het risico op identiteitsfraude te vermijden.
De hier uitgewisselde informatie heeft geen rechtsgevolg; extra bijlagen moeten wel via het omgevingsloket worden toegevoegd.
De gemeente wil hiervoor een bidirectionele berichtenbox gebruiken waarop de gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem toegang krijgt met DigiD.
In de tussentijd gebruikt de gemeente een veilig-mailen dienst. De gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem ontvangt zowel een link per mail als een SMS met een code. Hierbij worden de in de aanvraag vastgelegde contactgegevens gebruikt.
De informatie heeft een rechtsgevolg dus authenticatie is vereist. Bij de tussentijdse oplossing is er sprake van 2-factor authenticatie waarbij de gemeente feitelijk het uitgifte proces doet. Het betrouwbaarheidsniveau is hierbij niet gestandaardiseerd.

  1. Authenticatie_in_de_praktijk en Identiteitenbeheer