Presentatie ReadID in Expertgroep IAM
Bijeenkomst van Expertgroep IAM op woensdag 26 mei 2021, 15:00 - 15:30 uur, locatie: MS teams.
Doel: Kennis maken met ReadID, een door Europa gecertificeerd identificatiemiddel.
Doelgroep: Geïnteresseerden in IAM + Expertgroep IAM
Contactpersoon: Marijke Salters, nora@ictu.nl .
De NORA Expertgroep IAM heeft in de NORA Gebruikersweek 25 mei tot 4 juni 2021 een van haar reguliere vergaderingen. Wie interesse heeft in IAM en/of identificatiemiddelen was van harte welkom om bij het eerste deel van deze vergadering aanwezig te zijn.
Presentatie ReadID
Europese regels bepalen dat alle digitale diensten die we als overheden aanbieden aan burgers toegankelijk moeten zijn door een identificatiemiddel te gebruiken dat door de EU gecertificeerd is (eIDAS-verordening). Het is dus van belang om op de hoogte te blijven van middelen die die certificering door zijn gelopen. ReadID, (readid.com) is zo'n identificatiemiddel. De producent (InnoValor) gaf een presentatie (PDF, 1,92 MB) aan de NORA Expertgroep en de bredere community.
ReadID maakt gebruik van de RFID-chip in elektronische paspoorten en andere identiteitsdocumenten. De app scant optisch de Machine Readable Zone (MRZ) om toegang te krijgen tot de geïntegreerde chip. Vervolgens wordt deze RFID-chip gelezen en toont het de biografische en biometrische informatie van de documenthouder.
De document-informatie en gedetailleerde resultaten worden getoond nadat veiligheidscontroles zijn uitgevoerd. Zoals actieve authenticatie, validatie van documenthandtekening en validatie van handtekening per land.
Gestelde vragen (in de chat) en antwoorden voor zover schriftelijk beschikbaar
Eric Brouwer: Aan wie kan je dat dan vragen: "Do you exist?" Zie je die persoon dan niet staan ?
Wil Janssen: Liveness checking gaat automatisch - er is geen menselijk stap / verificatie.
John Zwart: je telefoon moet dan wel beschikken over NFC chip
Wil Janssen: Alle moderne telefoons kunnen NFC. Alle Android en iOS vanaf iPhone 7, iOS 13.John Zwart: nou dat niet voor elke smartphone het geval. alleen voor de dure modellen
Wil Janssen: @John: op Android ook op goedkope toestellen. Het werkt op 2600 verschillende modellen, hebben we getest... Tja, en Apple is nooit goedkoop, nee.
Marieke Vos: Checkt je app ook de veiligheid van de smartphone die hem gebruikt? Je scant tenslotte met je device iets dat best wel aantrekkelijk is voor hackers
Wil Janssen: Goed punt, Marieke. Daarom doen we niets op de telefoon. We gaan er vanuit dat de telefoon gehackt is. Alle analyse gebeurt in de cloud. Alleen politie gebruikt ReadID op hun beveiligde telefoons.
Marieke Vos: Jullie doen niets op de telefoon, maar de telefoon doet natuurlijk wel iets met de chip in je paspoort. Is echt te voorkomen dat die onderschept wordt door een malware app op de telefoon?
Wendy Pragt: Wat als ik in de tussentijd mijn haar een andere kleur geef of bijvoorbeeld kort knip?
Molenaar, Marcel (M. G.): Wat gebeurt er met de foto, en andere privé data? Welke bedrijven hebben daar toegang toe? Komt het in de cloud te staan? M.a.w. wat zijn de privacy-bevorderende maatregelen bij deze oplossing?
Anne: is het type document onafhankelijk? Ik kan als persoon zowel mijn paspoort als mijn rijbewijs gebruiken ( om en om )? Kan ik ook mijn kinderen met mijn toestel laten gebruiken?
Dus: kunnen meerdere persoon met het eigen document gebruik maken van hetzelfde toestel?
Wil Janssen: Ja. Het toestel onthoudt niets, Anne. Het is alleen een "lezer"
Anne: gelukkig :-)
Marieke Vos: Is er voor wie geen mobiel heeft of er liever geen gebruik van maakt ook een stand-alone device te maken dat je alleen gebruikt voor identificatie? Zou je die kunnen bouwen, bijvoorbeeld voor je klanten of burgers?
Wil Janssen: zie blog readid.com/blog/Privacy-related-security-mechanisms-for-ePassports
Harro Kremer: Vindt er ook realtime controle plaats of het ID bewijs niet is ingetrokken?
Molenaar, Marcel: Is de verificatie server van ReadID, of van jullie klant (het bedrijf)? Achtergrond van die vraag: wie heeft toegang tot de privé gegevens die je uitleest? Hoe borg je de privacy?
Kreeft, S.F. van der (Friso): Wat zijn de kosten voor gebruik als dienstverlener en betrokkene. Algemeen en per identificatie?
Eric Brouwer: Functioneel gezien is het beperkte architectuur: identificatie en authenticatie. Maar wel n veilige, dus !
Eric Brouwer: Het BSN in een aparte groep is naar mijn idee nou juist een architectuur-dingetje. Toch?
Anne: vooral een beschikbare tijd issue :-)
John Zwart: Wat is de status van het IAM traject en wordt er ook nagedacht over cloud-ready o.a samenhang met voorziening Microsoft Intune, gebruik cloud access security broker en koppeling AD met AD Azure?
Eric Brouwer: John Zwart dat zijn prima vragen om op de agenda van de expertgroep IAM te laten zetten !
John Zwart: ik wil mee doen
Anne: ik wil ook meedoen.
Eric Brouwer: Rinus Braak van DICTU heeft ook recent een presentatie verzorgd over Zero-trust en heeft gepleit omdat in de NORA op te nemen. Heb jij contact met hen, Marcel?
Kreeft, S.F. van der (Friso): Fyi: Ik ben van DICTU en heb regelmatig contact met Rinus.
Kreeft, S.F. van der (Friso): Frans had het er over dat er een pseudo ID van het BSN nummer ook na augustus 2021 op de chip blijft staan. Kun je controleren dat een aangeleverd BSN nummer gekoppeld is aan die pseudo ID?
Verslag[bewerken]
Presentatie NORA Gebruikersweek - ReadID 26mei21 (PDF, 1,92 MB)
- Presentatie en demonstratie ReadID
- Todo’s: stand van zaken verbeteringen van NORA online, waar gaan de IAM ontwikkelingen naartoe en wie kan/wil dit coördineren en wat is er nodig:
- a. Betere aansluiting nodig tussen Go en IAM, relatie met notitie RIVG en IDRA (n.a.v. visie update door Johann en Bob)
- b. Aanpassing/update van de authenticatie middelen pagina (Frans)
- b. API’s… ook vanuit de GO en NLX is roep om toepassing van API’s voor IAM en te koppelen aan NORA en GO (wie?, nader te bepalen).
- c. Linken IAM met andere thema’s, zoals beveiliging etc. hoe met generieke functies (wie?)
- d. Vindbaarheid van de pagina's verbeteren, na herstructurering is de navigatie niet helemaal meer duidelijk (Anne levert input)
- e. Presentatie wensen/backlog:
- IAM in de cloud, combinatie van IAM, b.v met AZURE, Door J&V met...
- PseudoID en het gebruik daarvan in relatie tot authenticatiemiddelen, Frans
- Overige backlog presentaties: Zero trust, door Marcel;
- GO resultaten, namens PL, door Johann Scheurs en/of Frits Bouma;
- IRMA, door SIDN
Ronde langs de tafels[bewerken]
- Logius/Frans:
DigiD hoog in ontwikkeling. POC MedMij, zodat gebruikers niet meerdere malen in hoeven te loggen vordert. Geïnteresseerden kunnen Frans benaderen. Vacature voor collega van Frans wordt extern gepubliceerd 1 dezer dagen. Ook dat kan worden gevolgd door geïnteresseerden.
- NORA/Eric:
Gebruikersweek is een succes, volg vooral ook alle publicaties
- Erasmus MC/ Kees Jan
Denken over aanbesteding support aan andere leverancier. Vraag naar ervaring. Geen ervaring binnen de groep.
Nagekomen informatie: Overzicht onderzoek naar IAM
Afspraken[bewerken]
Kees Jan, Frans, Harro en Marcel maken een afspraak om verder te spreken over het gebruik van federatieven IAM in de cloud. Zij houden ons op de hoogte van de uitkomsten.