Conversation

Notices

1. Embed this notice
   Kris (isotopp@infosec.exchange)'s status on Tuesday, 14-Jan-2025 20:08:36 JST Kris
   Einloggen mit dem Staat, NL Edition

   In den Niederlanden gibt es Online-Login nicht mit einem elektronischen Personalausweis, sondern das System hat einen Level of Indirection mehr.

   DigiD ist eine Art OAuth2-System, das einen Benutzer identifiziert und das staatlich betrieben wird.

   Einen DigiD-Account zu bekommen ist einfach und ihn zu haben beweist erst einmal gar nichts.

   Man kann den DigiD-Account dann mit Identitätsnachweisen beladen, indem man diese gegen die DigiD-App (und früher: in einer Behörde) vorzeigt. Das sind der niederländische Ausweis, der Führerschein oder gar Papierdokumente, die man dort eintragen läßt.

   In meinem Fall, als Nicht-Niederländer, ist es der Führerschein, der einen NFC Chip enthält, den das iPhone lesen kann.

   Auf diese Weise ist die DigiD für jeden benutzbar, ohne daß man an eine bestimmte Form des Ausweises oder gar digitale Dokumente gebunden ist. Ein NFC-Leser kann verwendet werden (zum Beladen), ist aber für die Funktion des Systems nach dem Einladen der Identität nicht notwendig.

   • GreenSkyOverMe (Monika) repeated this.
   • Embed this notice
     Kris (isotopp@infosec.exchange)'s status on Tuesday, 14-Jan-2025 20:08:35 JST Kris

     in reply to

     Viele Websites bieten DigiD an – Krankenversicherung, die elektronische Patientenakte, das KFZ-Amt und was es sonst noch so gibt.

     Der Ablauf ist immer gleich, und das Aussehen ist ebenfalls vorgeschrieben. Man fordert ein Login mit DigiD an. Die Site fordert einen auf, sich in der App einen Vierbuchstaben-Code zu besorgen.

     Das stellt sicher, daß eine Intention besteht, sich irgendwo einzuloggen und um die App-Session zu starten und Site und Handy einander zuzuordnen.

     Man öffnet also die App, und danach muß man nach dem Öffnen von DigiD eine PIN eingeben (bzw. FaceID läuft durch). Man bekommt den Code und tippt den ein.

     Jetzt finden DigiD Site, DigiD App und Site einander hintenrum in einer gemeinsamen Session einander, wissen, daß eine Intention zum Login besteht und reden direkt miteinander.

     GreenSkyOverMe (Monika) repeated this.
   • Embed this notice
     Kris (isotopp@infosec.exchange)'s status on Tuesday, 14-Jan-2025 20:08:35 JST Kris

     in reply to

     Ich tippe also den Code ein und klicke Weiter, und die Site produziert einen QR-Code.

     Die App öffnet unterdessen den Scanner, also Scan ich den Code.

     Jetzt wissen DigiD, die App und Mijngezondheit, daß ich mit dem Handy vor dem Code sitze, einen Login-Intent habe und mich mit FaceID ausgewiesen habe.

     DigiD fragt noch einmal nach, auf dem Handy:

     "Jo, Alter, Du bist gerade dabei Dich bei MijnGezondeit.net einzuloggen. Ist es das, was Du willst?"

     Ich sage "Ja" und bin eingeloggt.

   • Embed this notice
     Kris (isotopp@infosec.exchange)'s status on Tuesday, 14-Jan-2025 20:27:37 JST Kris

     in reply to

     • Lilith Wittmann
     Und Deutschland?

     Ein Problem, das Deutschland hat, ist ja, daß es sich mit dem elektronischen Personalausweis

     • von Ausländern abgeschottet hat, denn diese können keinen Perso bekommen
     • dann einen besonderen elektronischen Ausländerausweis eingeführt hat
     • und dann beim Login jedesmal Kartenlesen in irgendeiner Form verlangt hat,

     statt wie in den Niederlanden einmal eine Identität festzustellen (wie auch immer das erfolgt) und dann ein sicheres Login zu bauen, das im täglichen Betrieb ohne Spezialhardware funktioniert.

     Die Akzeptanz des Perso mit aktiviertem NFC und der Loginvorgang sind so schmerzhaft, daß sich diese Form des Logins beim Endanwender nicht durchgesetzt hat.

     Selbst wenn der Anwender es WILL, ist es oft nicht möglich, sich zu anzumelden.

     Dazu kommt, daß auf der anderen Seite der Zugang zur Identifikation mit Perso bis zum wortwörtlichen Geht-Nicht-Mehr reglementiert ist, weil ja Personendaten vom Perso ausgelesen werden (statt eine Identität zu bestätigen).

     Es gibt also auch kaum Anwendungen, weil die meisten Anbieter nicht qualifiziert sind, das zu verwenden.

     Keine Anwendungen, und keine Benutzer -> totes System -> aber der Bedarf ist da -> weitere Systeme entstehen.

     Und so kriegen wie Heilberufe-Ausweise und Gesundheitskarten und anderen Quatsch.

     Ich seh das ja ein wenig anders als @Lilith – eine Identität nachzuweisen und das einheitlich zu tun, ist eine Grundlage für sicheren Betrieb von IT, genau wie Asset Management es für Hardware ist. Und so etwas zu betrieben wäre auch eine Staatsaufgabe.

     Hat der Staat aber nur mehrfach verkackt: uneinheitlich, nicht verfügbar und strukturell falsch konstruiert.

     GreenSkyOverMe (Monika) repeated this.
   • Embed this notice
     Kris (isotopp@infosec.exchange)'s status on Tuesday, 14-Jan-2025 20:27:37 JST Kris

     in reply to

     Heilberufe-Ausweise, Gesundheitskarten und anderes physisches Identitätszeugs sind dann nur Folgefehler, die dokumentieren, wie sehr der elektronische Perso nicht funktioniert, nicht akzeptiert ist und demnach nicht verwendet werden kann.

     Im Grunde kann man mit den bestehenden Nachweisen – Papierdokumenten, elektronischen Ausländer-Ausweisen und Personalausweisen einen Identifikationsdienst wie DigiD auch in Deutschland bauen und anbieten, und dann die ganzen anderen Quatschkarten wegwerfen.

     Für den Betrieb ist dann kein NFC oder anderes Zeugs mehr notwendig, und eine Identität kann dann beweisen was immer in ihr hinterlegt ist.

     In meiner NL-Edition sehe ich dann auch in einem Log alle Aktivitäten und Datenflüsse in einer Audit-Page. Das ist sehr nützlich, weil es zeigt, wann ich mich wem gegenüber ausgewiesen habe.

   • Embed this notice
     Kris (isotopp@infosec.exchange)'s status on Tuesday, 14-Jan-2025 20:27:38 JST Kris

     in reply to

     Das tatsächliche Loginbanner (ein Step vor Bild 4 im vorigen Artikel) ist größer.

     Das ist alles erstaunlich schmerzfrei, und auch resilient, wenn man einen Ausweis mit NFC Chip zur Hand hat.

     Falls man die App ruiniert hat, oder das Telefon ohne Portierung wechseln muß, lädt man die App neu aus dem Store (oder klickt in der App Reset) und muß sich mit Username, Passwort und SMS oder Ausweis in der App einloggen.

     Und dann ist alles wieder klar.

     Pinbriefe oder andere Dinge werden nicht benötigt.

     Anforderungen an die digitalen Fertigkeiten der Ausweisdokumente werden nicht benötigt, nachdem eine bestätigte Identität in DigiD hinterlegt worden ist.