Erik van Straten (@ErikvanStraten@infosec.exchange)

ourselves.space

202d

Uit https://www.vrt.be/vrtnws/nl/2024/08/26/aalter-digitale-klkuis-succes-vlaanderen-uitrol/ (bron = {1}):

«Vlaanderen rolt digitale kluis uit die dag en nacht rijbewijzen en reispassen aflevert: "Proefproject in Aalter was succes" »

M.i. doodeng. Hoe weet je zeker dat het de *rechtmatige* eigenaar is die afhaalt?

Tijdens pilots is de kans op aanvallen klein, om meerdere redenen:

• Niet alle (cyber) criminelen hebben er al weet van;

• Te kleinschalig (lage winstkans) om de investeringen (onderzoek, opzetten bullet-proof infrastructuur) te rechtvaardigen;

• Geduld, laat de pilot vooral slagen; dit gaat straks veel meer winst opleveren.

(Alhoewel er altijd snelle jongens tussen kunnen zitten).

RISICO'S
Een voorzet-touchscreen en ItsMe wordt ItsNotJustMe of ItsNotMeAnymore.

Of je krijgt een mes tegen je hals c.q. een pistool tegen je hoofd op het moment dat je zo'n ID "uit de muur trekt".

AANVRAGEN WEL AAN DE BALIE?
En kun je zo'n ID trouwens al aanvragen middels VideoIdent? (ai ai: AI, AitM en dwang buiten het gemeentehuis).

REMOTE IDENTITY PROOFING
In hun (Engelstalige) rapport over "Remote Identity Proofing" (dat de risico's van VideoIdent beschrijft), hebben deze "deskundigen" nagelaten (waarom?) om AitM (Attacker in the Middle) aanvallen te benoemen: https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/ANSSI-BSI-joint-releases/ANSSI-BSI_joint-release_2023.html - een techniek die aan populariteit wint onder online bankrovers.

VIDEOIDENT: BUNQ / ICSCARDS STYLE
Zij sturen een bericht dat stelt dat de wetgever de bank verplicht om klanten opnieuw te laten authenticeren - middels VideoIdent. Zij vragen het aanstaande slachtoffer om op een nepsite, die als "proxy" fungeert voor de echte site, te "VideoIdenten". Daarmee kunnen de aanvallers het bankaccount van het slachtoffer aan *hun* toestel koppelen, om vervolgens de echte eigenaar te buiten te sluiten.

ONLINE ID AANVRAGEN
Precies datzelfde gaat gebeuren zodra je online een identiteitsbewijs of rijbewijs kunt aanvragen.

SORRY
Hoewel er altijd kwakzalvers zijn die anders claimen, *kun* je sommige zaken niet betrouwbaar digitaliseren en/of op afstand regelen, zoals stemmen en identiteitsbewijzen aanvragen/afhalen.

RISICO'S EN VANGNETTEN
Dram je dat toch door, wie draagt dan de risico's? Welke vangnetten (anders dan psychologische "slachtofferhulp") worden er tegelijkertijd opgetuigd?

BESPARING - VOOR WIE
Ow wacht, het is een *bezuinigingsmaatregel* die de overheid geld moet besparen (en waar leveranciers van, onder meer valse beloftes, vet aan verdienen - betaald uit door u en door mij afgedragen belastingen).

MEER INFO
• Nepsites: https://security.nl/posting/855024

• https://www.security.nl/posting/827137/Kopie-ID%3A+kap+ermee%21

• https://www.security.nl/posting/847095/Digitale+gezichtsopname+moet+papieren+pasfoto+voor+paspoort+vervangen#posting847218

• Discussie met "denan", betrokken bij Yivi (voorheen IRMA): https://tweakers.net/nieuws/216792/eu-wijst-drie-pornowebsites-aan-als-zeer-grote-onlineplatforms-onder-dsa.html?showReaction=19454716#r_19454716

• Discussie met Ivo Jansch, archtect van #EDIW aka #EUDIW : https://tweakers.net/nieuws/204138/nederland-krijgt-een-paspoort-voor-op-internet-hoe-gaat-dat-werken.html?showReaction=18249704#r_18249704