InnoValor heeft voor en samen met Dienst Uitvoering Onderwijs (DUO), en in samenwerking met Logius en RDW, een Proof-of-Concept (PoC) gemaakt voor een mogelijke DigiD app. In deze blogpost beschrijven het waarom en het hoe.

Waarom de Digi2 PoC app?

De Nederlandse overheid is druk bezig om haar dienstverlening te digitaliseren, conform de doelstelling in het regeerakkoord dat burgers en bedrijven in 2017 digitaal zaken met de overheid moeten kunnen doen. Een randvoorwaarde hiervoor is een veilige en gebruikersvriendelijke identiteitsoplossing, die natuurlijk zo goedkoop mogelijk moet zijn. We hebben voor burgers hier de DigiD voor. Maar met al het succes van DigiD, het wordt immers volop gebruikt, heeft het ook zijn beperkingen. Daarom is  de overheid bezig met Idensys (voorheen: eID Stelsel), waarin private partijen identiteitsdiensten kunnen aanbieden op een hoger betrouwbaarheidsniveau en met de zo gewenste redundantie van authenticatiemiddelen. Er wordt in 2016 volop gepilot met Idensys, en ook met de gerelateerde ontwikkelingen zoals een publiek eID middel op hoog niveau (als toevoeging op rijbewijs en identiteitskaart) en BankID, maar besluitvorming is er nog niet en over belangrijke zaken als privacy en businessmodel is nog geen brede consensus.  Bovendien is er na besluitvorming er ook nog een brede uitrol nodig die de nodig tijd zal eisen. Kortom, DigiD blijft relevant de komende jaren en voor overheidsorganisaties zoals DUO is het noodzakelijk dat het goed blijft werken. Ook de minister van Binnenlandse Zaken vindt dit, we citeren hier uit een recente kamerbrief (23 november 2015):

Logius, de overheidsorganisatie die namens MinBZK verantwoordelijk is voor het beheer en doorontwikkeling van DigiD, werkt daarom aan de zogenaamde Versterkingsagenda DigiD. Naast maatregelen voor de beveiliging zijn de belangrijkste onderdelen hiervan:

1. Een vervanging van SMS voor DigiD Midden te bieden in de vorm van een mobiele app – immers SMSjes zijn duur en ook niet erg gebruiksvriendelijk door het moeten overtikken van codes. Mede gezien het standpunt van het College van Bescherming Persoonsgegevens en de Algemene Rekenkamer dat veel meer overheidsdiensten tenminste DigiD Midden niveau zou moeten gebruiken, i.p.v. DigiD Basis, worden de SMS kosten ook steeds meer een probleem.
2. Om DigiD geschikt te maken om te gebruiken in combinatie met zogenaamde afnemers apps, zoals de inkomstenbelasting app van de Belastingdienst.
3. Om het betrouwbaarheidsniveau van DigiD te verhogen (DigiD Hoog, naar STORK niveau 3) door de contactloze chip in paspoorten, rijbewijzen en identiteitskaarten als tweede factor te gebruiken – ook Remote Document Authentication (RDA) genoemd en getrokken vanuit RDW.

Door middel van de Digi2 Proof-of-Concept app hebben we onderzocht hoe bovenstaande drie onderdelen samen zouden kunnen komen in één app. Primaire focus en belang van DUO, als grootverbruiker van DigiD midden en dus SMS, ligt in het vervangen van deze dure SMSjes. Een DigiD app die SMS vervangt moet natuurlijk wel gebruikersvriendelijk zijn, zodat studenten dit ook willen gebruiken en zonder dat dit ten koste gaat van de beveiliging. Ook DigiD geschikt maken voor afnemers apps en een hoger betrouwbaarheidsniveau zijn meegenomen in de Digi2 app.

Hoe werkt het?

Het doel is een Digi2 Proof-of-Concept app die gebruikersvriendelijk, veilig en kostenefficiënt is. Om dit te realiseren hebben we ons bij het ontwerp van de Digi2 app laten inspireren door hoe online bankieren apps werken. We hebben twee demo video’s gemaakt die de werking uitleggen: een korte demo video die uitlegt hoe de Digi2 app werkt als SMS vervanger en een langere demo video die ook uitlegt hoe de Digi2 app werkt met afnemer apps en als DigiD Hoog (RDA).

Belangrijke ontwerpbeslissingen zijn

• Er moet uiteindelijk maar één DigiD app komen, niet eentje als SMS vervanger, eentje voor afnemers apps en eentje voor RDA.
• Geen codes overtikken door de gebruiker.
• Deze DigiD app moet eenmalig geregistreerd worden, waarna hij via een pincode beveiligd is (dit kan in de toekomst ook met biometrie etc).
• Te gebruiken als tweede factor voor ‘normale’ overheidsdiensten die browser gebaseerd zijn door op de PC/laptop eerst in te loggen met DigiD wachtwoord en op dan smartphone de pincode intikken.
• Te gebruiken als enige factor voor afnemer apps, immers DigiD wachtwoord intikken op een smartphone is niet gebruikersvriendelijk.
• Op DigiD Hoog inloggen kan door de Digi2 app te gebruiker als tweede factor en een paspoort of identiteitskaart tegen een mobiel aan te houden, net zoals de RDW dit recent heeft geïmplementeerd met losse NFC readers op PC/laptops voor RDA.
• Registratie kan door eenmalig in te loggen met DigiD Midden met SMS (voor wie dit al heeft), met een activatiecode per brief (zoals nu ook DigiD Midden moet worden aangevraagd) of door eenmalig een identiteitsbewijs (met chip) tegen een mobiel aan te houden in combinatie met inloggen met DigiD Basis. Alleen de laatste is daadwerkelijk geïmplementeerd in de Proof-of-Concept en dit werkt alleen met geschikte smartphones (Android met NFC).

De veiligheid van de Digi2 app hier in detail bespreken gaat te ver, maar belangrijke keuzes hierin zijn een lokaal gecreëerd soft certificate, binden van de app naar de mobiel (device id, IMEI etc) en een PIN die server-side gecontroleerd wordt.

Hoe verder?

De Digi2 app is, zoals eerder gesteld, puur een Proof of Concept. We zien de Digi2 app als een set van “living requirements” voor een DigiD app. Met de Digi2 PoC hebben we aangetoond dat zo’n app realistisch is: gebruikersvriendelijk, veilig en kostenefficiënt. De uiteindelijke app, waar Logius nu mee bezig is, zal naar verwachting niet precies hetzelfde werken als de Dig2 app en zal ook, in ieder geval in de eerste versie, ook nog niet alle functionaliteit implementeren die de Digi2 app al implementeert, maar door een goede samenwerking met Logius staat dit al wel in hun roadmap aangevinkt en is de productie app straks conform requirements van haar afnemers. Uiteindelijk moeten de afnemers dit product succesvol maken door te zorgen voor een brede maatschappelijke launch.

Deze blogpost is geschreven door Jan Kouijzer (DUO) en Maarten Wegdam (InnoValor).