Belgische overheid drijvende kracht achter online identiteit

Digitale diensten vormen een steeds belangrijker onderdeel in ons leven. Iedereen heeft meerdere online identiteiten, maar het beheer ervan is vaak onveilig en onhandig. Overheden kunnen een belangrijke rol spelen bij het creëren van vertrouwelijke identiteiten. De garantie voor een veilige online identiteit en een betrouwbaar kader kan zowel economische als sociale voordelen opleveren. België is op het vlak van elektronische identiteitskaarten een technologische leider. Samen met Estland en Finland speelt het land een voortrekkersrol. Wat kan Nederland hiervan leren?

Vanaf de leeftijd van 12 jaar krijgt iedere Belg een eID-kaart. Dit is een chipkaart ter grootte van een bankkaart. Een deel van de persoonlijke informatie staat zichtbaar af te lezen op de kaart. Denk aan naam en voornaam, geboortedatum en –plaats, een pasfoto, het nummer uit het rijksregister (zeg maar: burgerservicenummer) en de handtekening van de persoon. De informatie op de chip is beveiligd met een pincode. Naast de zichtbare informatie, staan op de chip immers ook het adres en twee certificaten. Dat is allereerst het identificatiecertificaat, waarmee de burger zijn identiteit kan bevestigen. Daarnaast is een handtekeningcertificaat aanwezig, waarmee de burger een elektronische handtekening kan plaatsen onder elektronische documenten. Dankzij de ingebouwde chip heeft deze kaart drie functies: identificatie, authenticatie en elektronisch handtekenen. 

Het gebruik van de elektronische identiteitskaart is in België al goed ingeburgerd. Een schooltoelage aanvragen, kinderen inschrijven voor zomerkampen, toegang krijgen tot een online bibliotheek - het aantal situaties waarin de elektronische identiteitskaart kan worden gebruikt, blijft toenemen. Tax-on-web, het online belastingaangiftesysteem, is veruit de bekendste toepassing. Digitale diensten bieden uiteraard tal van voordelen, zowel voor de burger als voor de (lokale) overheid. De burger heeft 24/7 toegang tot openbare diensten, wat een verhoogd comfort oplevert.

Overheid als drijvende kracht

Fedict, de Belgische Federale overheidsdienst voor Informatie- en Communicatietechnologie, werkt voor de Belgische overheid aan de ontwikkeling en opvolging van e-government. De dienst ontwikkelt de IT-bouwstenen voor andere federale overheidsinstanties, gemeenschappen en gewesten, evenals ondernemingen of personen die een opdracht van de overheid uitvoeren. Zo kunnen deze instanties hun activiteiten verbeteren en beter beantwoorden aan de behoeften van de burgers, bedrijven en ambtenaren.

De authenticatiemethodes die Fedict aanbiedt, worden door meer dan 700 overheidsapplicaties gebruikt, Ze vereisen echter wel een geconnecteerde kaartlezer en enkele software drivers. Hierbij doken in de loop van de tijd verschillende problemen op. Zo kiezen gebruikers gemakshalve voor de minst veilige manier om te authenticeren, zoals een statisch wachtwoord of een token-kaart. Daarnaast spelen mobiele apparaten een steeds grotere rol. Een geconnecteerde kaartlezer is dus niet meer bruikbaar, omdat die niet kan verbonden worden met een mobiel toestel. Fedict moest dus een gemakkelijk en veilig authenticatiemechanisme vinden voor toestellen die geen USB-aansluiting hebben.

Weinig documenten zijn zo betrouwbaar en veilig als een identiteitskaart, dus het was duidelijk dat de eID een deel van de oplossing voor niet-geconnecteerde authenticatie moest worden. Fedict besloot de oplossing niet zelf uit te werken, maar het uit te besteden. Vorig jaar publiceerde Fedict de erkenningsvoorwaarden waaraan private partijen moeten voldoen om een oplossing aan te bieden voor toegang tot online overheidstoepassingen.

Een eerste stap

In maart 2015 werd VASCO Data Security als eerste externe partner gecertificeerd door Fedict. De oplossing bestaat uit het Trusted Digital Identity Platform, MyDigipass, in combinatie met de Digipass 870. Deze kaartlezer kan zowel draadloos gebruikt worden, als verbonden met een computer.

Hoe werkt dit in de praktijk? Burgers maken eerst een profiel aan op MyDigipass. Bij de registratie moeten ze hun identiteitskaart en de geconnecteerde kaartlezer gebruiken. Dat is belangrijk, omdat alleen op die manier kan worden gegarandeerd dat ze zijn wie ze beweren te zijn. De informatie op de identiteitskaart wordt via het kabeltje doorgestuurd. Het profiel op MyDigipass wordt dan gekoppeld aan het profiel van CSAM, de toegangspoort tot alle overheidsapplicaties.

Het vervolg is een fluitje van een cent. Burgers surfen naar de webapplicatie waarop ze zich willen aanmelden. Ze kiezen voor de optie ‘aanmelden met ongeconnecteerde eID’, nemen de kaartlezer en eID-kaart, geven pincode in en vullen dan het wachtwoord in dat op de kaartlezer verschijnt. Het is hetzelfde principe als bij een bankoverschrijving: handig, snel en vooral veilig.

Het MyDigipass-platform houdt alle persoonsinformatie op een veilige manier goed bij. Als een gebruiker een volgende keer toegang wil tot een applicatie, hoeft hij enkel zijn wachtwoord voor MyDigipass in te geven. Dat wachtwoord is ook extra veilig, omdat het om een eenmalig wachtwoord gaat dat gegenereerd wordt via een app op de smartphone van de gebruiker. De identiteitskaart is dan niet meer nodig. Dat is het zogenaamde ROAM-principe: Register Once, Authenticate Many. Eens de gebruiker zijn identiteit heeft bewezen, kan hij op een eenvoudige doch veilige manier aanloggen op allerhande applicaties.

Beheer van identiteiten

Met dit businessmodel treedt VASCO op als zogeheten ‘identity broker’ of identiteitsmakelaar. Hierdoor is dit concept ook interessant geworden voor commerciële applicaties. Dankzij de licentie van de overheid heeft VASCO toegang tot de informatie van de burger, zoals geslacht, leeftijd en woonplaats. Die informatie wordt veilig opgeslagen op de servers van VASCO, maar kan ook interessant zijn om de identiteit van online internetgebruikers te verifiëren en daaraan acties te koppelen.

Laten we het voorbeeld nemen van een online gokspel. In België (hetzelfde geldt voor Nederland) verplicht de wet dat spelers van online gokspelletjes ouder moeten zijn dan 18. Nu is die regel gemakkelijk te omzeilen. Een gebruiker maakt een vals account aan, vult een foute geboortedatum in en klaar is kees. Niemand weet of de huidige online gokker daadwerkelijk 18 jaar of ouder is. Dankzij MyDigipass kan de online gok-website er zeker van zijn dat de speler die aanlogt meerderjarig is, omdat zijn leeftijd gegarandeerd is door de elektronische identiteitskaart. Bovendien besparen de online loterijen en casino’s veel geld, omdat er geen identiteitsbewijzen via de post opgestuurd hoeven te worden.

Een ander voorbeeld is het digitale medische dossier, dat kan worden ingekeken door de patiënt. Het spreekt voor zich dat alleen de patiënt in kwestie deze gevoelige gegevens mag raadplegen, dus moet zijn identiteit gewaarborgd worden. Ook hier biedt de elektronische identiteitskaart het juiste niveau van veiligheid, en dankzij MyDigipass kan de patiënt vanuit zijn luie zetel zijn medisch dossier raadplegen.

De voordelen voor gebruikers, overheden en commerciële instanties zijn duidelijk: de beveiliging, privacy en gebruiksgemak van de online gebruiker worden verhoogd. Daarnaast zijn de diensten makkelijker toegankelijk en is de dienstverlener er zeker van dat de gebruiker is wie hij zegt te zijn.

Jan Valcke, president & COO van VASCO Data Security