Innovatie & Strategie

Privacy
oog

Superscience: oog voor security én privacy

Hoe universiteitsproject voor digitale identiteit internationaal reikt.

© Shutterstock Valery Brozhinsky
14 mei 2021

Hoe universiteitsproject voor digitale identiteit internationaal reikt.

Een goede, verifieerbare digitale identiteit is broodnodig in de moderne maatschappij, maar wordt nogal eens gezien als haaks staand op privacy; het kunnen controleren of iemand wel echt die iemand is, versus het afschermen van persoonlijke data van een persoon. Toch kan het, een digitale identiteit die je privacy waarborgt. Dit bewijst IRMA, een app – en meer – van Nederlandse bodem.

De wereld kent vele apps die gericht zijn op de bloeiende en boeiende terreinen van security, e-identiteit, gebruikersprofielen en privacy. Daaronder ook bergen apps die zich storten op het kruispunt van die terreinen, of: de kruisbestuiving. De ene na de andere ambitieuze start-up dient zich aan, waarbij sommigen de hoogmoed hebben om zelf encryptie te maken. Waarvan wetenschappers en ware experts echter weten dat gedegen encryptie echt een vak apart is.

Vanuit de wetenschap

Waarom dan niet vanuit de wetenschap een goed gefundeerd systeem opzetten voor verificatie en authenticatie, kortom digitale identiteit? Nou, omdat dat al is gedaan. En nu geleidelijk aan bezig is de wereld te ‘veroveren’. IRMA is de naam, en het is voortgekomen uit de Radboud Universiteit, vertelt Bart Jacobs, hoogleraar op het gebied van security, privacy en datagovernance. “Hier zit hele boeiende crypto achter.”

Het begin van IRMA ligt alweer tien jaar terug. Toen is vanuit het cryptografieconcept van zero-knowledge proof een prototype gemaakt bij de Radboud Universiteit. Zero-knowledge proof is een methode op basis van wiskundige modellen om dingen te kunnen verifiëren zónder onderliggende data te delen of in te laten kijken; controle van identiteit zonder het prijsgeven van details, laat staan details die eigenlijk niet nodig zijn voor een bepaalde handeling of transactie.

Naast de notie van ‘datazuinigheid’ is er het punt van efficiëntie. “Een callcenter is 40% van de tijd kwijt aan verificatie”, weet Jacobs. Twee vijfde van de kostbare tijd – van klant en dienstverlener – wordt besteed aan vragen naar klantnummer, geboortedatum, en andere gegevens waarmee valt te bewijzen dat de persoon aan de lijn ook echt de persoon is die hij/zij beweert te zijn.

Bepalen wie je bent

“Alle securityoplossingen beginnen met bepalen wie je bent.” Verificatie en authenticatie van je (digitale) identiteit om op basis daarvan te kunnen beoordelen of je wel gemachtigd of gerechtigd bent om iets te doen, iets in te zien, iets te bestellen, enzovoorts. “Identiteit is een strategisch onderwerp. Veel partijen willen dat organiseren.”

De politieke, technische en ook commerciële belangen hierbij zijn groot, groter, grootst. Microsoft had eind vorige eeuw al het plan van een online-identiteitsbewijs om single sign-on bij e-commercewebsites te verzorgen. Dat Microsoft Passport is nooit in die vorm van de grond gekomen, maar hedendaagse inlogdiensten van Facebook, Google en andere datagiganten vormen een moderne implementatie van dat vroege Microsoftplan.

Bij dergelijke identiteitsproviders spelen commerciële belangen en datavergaring fundamentele rollen. Facebook ambieert een dergelijke fundamentele rol, en biedt het ogenschijnlijk gratis aan. Maar gebruikers betalen natuurlijk met hun data. Telecombedrijf KPN heeft ooit geprobeerd om de rol van identiteitsprovider in te vullen, weet Jacobs te vertellen.

De banken hebben het ook geprobeerd, vervolgt hij. Daarbij waren er twee praktische nadelen. Ten eerste moesten webwinkels dan betalen aan de banken, een bedrag van 25 tot 50 cent per login; dat tikt aan in grote aantallen. Ten tweede was er het probleem van centrale login. “In feite log je in bij je bank, en die vertelt de webwinkel dat jij het bent.”

Tussenpartij versus infrastructuur

Die centrale rol van de identiteitsprovider, of dat nu een bank is of een groot social network, geeft een machtspositie waarbij winstbejag en datahonger voor een hellend vlak kunnen zorgen. Jacobs verwijst naar het proefballonnetje van ING voor data zo’n zeven jaar terug, waarbij de bank adverteerders inzicht wou geven in het betalingsgedrag van klanten. 

“IRMA is niet een via-partij. Je hebt met jouw app direct contact” met de externe partij waarmee je contact wilt of zaken wilt doen. De app valt te vullen met informatiekaartjes, die puur en alleen op de smartphone staan waarop de app is geïnstalleerd. Die kaartjes kunnen uiteenlopende hoeveelheden data uit diverse bronnen bevatten. Bijvoorbeeld je officiële naam, je geboortedatum, je adres, je burgerservicenummer (BSN), je mailadres, of je LinkedInprofiel.

Welk kaartje je inzet voor verificatie van je digitale identiteit bij een bepaalde site of dienst is aan jou, de eindgebruiker. Hoewel zo’n site of dienst wel bepaalde minimumvereisten kan vragen voor de data die het nodig heeft. Denk aan een BSN voor een gemeente, of een postadres voor een webshopbestelling. IRMA heeft hierbij geen inzicht in de gegevens, de aantallen, enzovoorts. “Dat willen we ook niet, daar kiezen we voor.”

Privacy, open, non-profit

Privacy is fundamenteel voor deze app vanuit de wetenschappelijke wereld, die dan ook open source is, non-profit, gratis beschikbaar en als infrastructuur wordt aangeboden. Eigenlijk à la het internet, trekt Jacobs de vergelijking. Al met al is IRMA meer dan een app, het is ook een stichting (die Privacy By Design heet) en een ecosysteem, legt Jacobs uit. Dat ecosysteem omvat in essentie drie partijen: de gebruiker, de verifier en de issuers.

De eerste is gewoon de individuele eindgebruiker die zijn/haar digitale identiteit kan aantonen via IRMA en daarmee naar eigen wens meer of minder persoonlijke informatie kan delen. De tweede, de verifier, is bijvoorbeeld een webwinkel die voor de levering van een product natuurlijk wel je postadres moet weten. En de derde, de issuers, zijn de organisaties die zorgen voor de kaartjes in de IRMA-app.

De issuers zijn wel beperkt, qua aantallen. Niet zomaar elk firma of organisatie mag meedoen. Voor het kunnen verstrekken van IRMA-kaartjes is een private cryptokey nodig en dat loopt via de IRMA-stichting en SIDN (Stichting Internet Domeinregistratie. Die twee ‘hoeders’ van IRMA moeten een aankloppende partij keuren en goedkeuren, om er dan een contract mee te sluiten.

Nieuw-Zeeland

“Dat doen we nu wat ad hoc”, vertelt Jacobs. Begin dit jaar waren er maar tien issuers, allen partijen “die we kennen”. Daar moet een alternatief voor komen, geeft hij aan, een opzet die schaalbaar is. Het eigen succes van IRMA dwingt daar nu ook toe. Jacobs vertel over “een club in Nieuw-Zeeland, de ‘SIDN’ van dat land, die daar IRMA opzet”. Dat dwingt de Nederlandse stichting om tot een beter systeem te komen.

Handig daarbij zijn de internationale relaties die SIDN, beheerder van het .nl-domein, al heeft. Die stichting voor de registratie van internetdomeinen werkt al samen met collega’s, waarbij het bouwt op hun betrouwbaarheid. Dit systeem is anders dan bijvoorbeeld het internationale systeem van beveiligingscertificaten. “Daar is wel wat ... ruis”, formuleert Jacobs het subtiel. In de praktijk zijn er al diverse incidenten geweest waarbij verstrekkers van certificaten niet altijd betrouwbaar bleken te zijn.

Toekomstbestendig

De band met de SIDN, die net als Privacy By Design een non-profit is, betekent voor IRMA ook een vorm van toekomstbestendigheid. Het geeft gebruikers, verifiers en issuers geruststelling. “Is IRMA – of Privacy By Design – er over vijf jaar nog?”, stelt Jacobs een vraag die buitenstaanders kunnen hebben. De band met SIDN garandeert dat dit ecosysteem voor digitale identiteit er over x jaar nog gewoon is.

In eerste instantie diende de SIDN alleen voor de benodigde infrastructuur. IRMA-stichting Privacy By Design verzorgde de ontwikkeling. Dat is echter verschoven. Meer van het werk ligt nu bij de oudgediende internetstichting (die sinds 1996 bestaat): het ontwikkelen van de infrastructuur, plus dat van de app, plus het beheer. Wat resteert voor Privacy By Design zijn de organisatorische taken, plus ambassadeurschap, vertelt Jacobs.

Laatstgenoemde taak heeft hij een praktische draai gegeven door zijn interview met AG Connect te laten lopen via videobelplatform IRMA-meet. Niet via Teams of Zoom, wat een groot deel van de thuiswerkende wereld is gaan gebruiken tijdens de coronapandemie. IRMA-app installeren, kiezen met welk kaartje je het contact gaat faciliteren, en videobellen maar. Zónder dat te veel data worden gedeeld, en mét zekerheid dat de gespreksgenoot ook echt de bedoelde persoon is.

Magazine AG Connect

Dit artikel is ook gepubliceerd in het magazine van AG Connect (juni-julinummer 2021). Wil je alle artikelen uit dit nummer lezen, klik dan hier voor de inhoudsopgave.

Lees meer over Innovatie & Strategie OP AG Intelligence
Reactie toevoegen
De inhoud van dit veld is privé en zal niet openbaar worden gemaakt.