Hoe veilig is DigiD?

De Iraanse overheid blijkt een ssl-certificaat te gebruiken waardoor ze kan haar burgers die gebruik maken van Google mail kon bespioneren.
Het certificaat is afkomstig van het Nederlandse Diginotar (uit Beverwijk). Hoe Iran aan het certificaat is gekomen is onduidelijk. Er zijn veel mogelijkheden:

1. Iraanse medewerkers hebben zich voorgedaan als Google medewerkers en het valse certificaat gewoon (?) gekocht.
2. Iraanse hackers hebben bij Diginotar ingebroken en toegang gekregen tot de computer waarmee de certificaten worden aangemaakt.
3. Een corrupte medewerker van Diginotar heeft de computer waarmee de certificaten worden gemaakt gebruikt om het valse certificaat te maken.
4. Een Google medewerker heeft bij Diginotar een certificaat gekocht en doorgespeeld aan Iran.
5. Enz.

In bijna alle gevallen is Diginotar betrokken door slechte beveiliging, nalatigheid, of corruptie. Het maakt eigenlijk niet uit waar de oorzaak precies ligt. Het vertrouwen in Diginotar is beschaamd en de consequenties zullen zwaar zijn. Ik verwacht dat Diginotar zeer binnenkort (voor het einde van dit jaar) ophoudt te bestaan. Inmiddels heeft de eigenaar van Diginotar verklaard dat het mogelijkheid 2 was (Diginotar is gehackt).

Keten van vertrouwen

Diginotar is een onderdeel in een keten van vertrouwen. Zo'n keten maakt veel betrokkenen kwetsbaar. Van de bespioneerde Iraanse burgers (die misschien voor hun leven moeten vrezen) tot en met alle kopers van certificaten van Diginotar en hun web-klanten. Op dit moment nemen de makers van Firefox, Google Chrome en Internet Explorer dan ook maatregelen die waarschijnlijk alle certificaten uitgegeven door Diginotar onbruikbaar maken.

DigiD

Diginotar is ook de uitgever van de certificaten die DigiD beveiligen. De gebruikers van Microsoft Internet Explorer, Firefox en de Google Chrome browser zullen bij het gebruik van DigiD worden getracteerd op beangstigende waarschuwingen dat het beveiligingscertificaat niet vertrouwd is. De Nederlandse overheid kan zich niet permitteren dat 90% van de gebruikers hierdoor het vertrouwen in DigiD verliest (en daarom niet langer durft te gebruiken) en zal bliksemsnel naar een andere certificaatverstrekker moeten overstappen.

Overigens is het niet zo dat DigiD veilig wordt door een andere verstrekker van ssl-certificaten. De veiligheid van het DigiD systeem is door de gebruikers (burgers) niet te beoordelen. Ze moeten vertrouwen op de waakzaamheid en deskundigheid van de beheerders van het DigiD systeem. Dat is een kwalijke zaak.

Lijkt best wel veel op die stemcomputers die we gelukkig niet meer gebruiken...