eID PUK procedure veranderd?

Onderwerpen die nergens anders thuis horen en toch eerder technisch van aard zijn? Post ze hier!
Plaats reactie
ITnetadmin
userbase crew
userbase crew
Berichten: 8974
Lid geworden op: 28 jan 2012, 18:22
Uitgedeelde bedankjes: 199 keer
Bedankt: 690 keer
Recent bedankt: 2 keer

Ik krijg op FB net te horen van mensen dat ze hun eID PIN code kunnen resetten door gewoon naar het gemeentehuis te gaan.
Een PUK code hebben ze daarbij niet nodig.

Zoals velen hier wel zullen weten, is de eID PIN code reset is beveiligd met een 12 cijferige PUK code.
Jij krijgt 6 cijfers mee in je brief waarin ook je PIN code staat, en de terminal die de reset uitvoert haalt de andere 6 op uit de database van het rijksregister.

Nu blijkt dat mensen zeggen hun code gereset te hebben door gewoon naar het gemeentehuis te gaan en zonder enige info of code kon men daar de PIN code resetten.

Is die procedure veranderd zonder dat ik van iets wist?

Want dit is een serieuze security breach. Mijn private key op mijn eID dient om signatures te genereren (non-repudiation) en de ganse beveiliging daarvan stoelt op het principe dat *enkel ik* de user helft van mijn PUK code in bezit heb.

Als blijkt dat gemeentehuizen "voor het gemak" een kopie van die code zouden bijhouden, vind ik dat een serieus probleem.
Gebruikersavatar
heist_175
Moderator
Moderator
Berichten: 14885
Lid geworden op: 07 okt 2010, 09:35
Locatie: Kempen
Uitgedeelde bedankjes: 484 keer
Bedankt: 1054 keer
Recent bedankt: 15 keer

https://eid.belgium.be/nl/over-de-eid-kaart#7535
Wat als ik mijn pincode niet meer weet?
Bent u uw pincode kwijt of vergeten, of werd uw kaart geblokkeerd nadat u drie keer na elkaar de verkeerde code hebt ingegeven? Dan kan u enkel een nieuwe pincode krijgen bij uw gemeentebestuur.

Om een nieuwe code te krijgen, gaat u naar uw stad- of gemeentehuis met uw eID en de brief met codes die u kreeg voordat u uw eID bent gaan afhalen. Voor meer informatie kan u terecht op de website van de Federale Overheid Binnenlandse Zaken.

Hebt u geen pincode meer? Dan kan u een herdruk aanvragen bij uw gemeentebestuur of via deze website. De codes worden dan binnen de 15 dagen opgestuurd naar uw gemeentebestuur.

Wat als ik mijn pukcode niet meer weet?
Bent u uw pukcode kwijt of vergeten, of werd uw kaart geblokkeerd nadat u drie keer na elkaar de verkeerde code hebt ingegeven? Dan kan u enkel een nieuwe pukcode krijgen bij uw gemeentebestuur.

Om een nieuwe code te krijgen, gaat u naar uw stad- of gemeentehuis met uw eID en de brief met codes (die u kreeg voordat u uw eID bent gaan afhalen). Voor meer informatie kan u terecht op de website van de Federale Overheid Binnenlandse Zaken.

Hebt u geen pukcode meer? Dan kan u een herdruk aanvragen bij uw gemeentebestuur of via deze website. De codes worden dan binnen de 15 dagen opgestuurd naar uw gemeentebestuur.
Gebruikersavatar
cadsite
Elite Poster
Elite Poster
Berichten: 6126
Lid geworden op: 20 jan 2015, 16:10
Locatie: Kortrijk
Uitgedeelde bedankjes: 244 keer
Bedankt: 584 keer
Recent bedankt: 10 keer

't Is al efkes geleden dat ik mijn madam naar 't stadhuis heb gestuurd voor haar PIN, maar ik denk inderdaad dat dat ging zonder de PUK.
Ik zou niet weten waar mijn PUK is trouwens. Staat dat op hetzelfde bladje als de PIN?
Gebruikersavatar
raf1
Elite Poster
Elite Poster
Berichten: 5784
Lid geworden op: 17 nov 2009, 22:39
Uitgedeelde bedankjes: 261 keer
Bedankt: 1771 keer
Recent bedankt: 4 keer

De nieuwe codes komen na een (online) aanvraag van de burger via de post toe op het gemeentehuis en je kan via e-mail verwittigd worden dat je nieuwe codes beschikbaar zijn op het gemeentehuis.
Daarna kan een overijverige gemeenteambtenaar wanneer jij jouw eID afgegeven hebt, inderdaad voor jou de brief openen en de codes invoeren op de kaartlezer. Maar in principe moet de burger dat zelf doen.

Een malafide ambtenaar zou de brieven met codes op voorhand kunnen openen en de codes zelf bijhouden in een lokaal Excel-bestand, maar dat is onwettelijk en een zware beroepsfout.

De procedure is zeker niet veranderd, wat wel kan is dat je via e-mail verwittigd wordt wanneer je naar het gemeentehuis moet komen om de procedure uit te voeren.
boonpwnz
Elite Poster
Elite Poster
Berichten: 5081
Lid geworden op: 05 jul 2017, 09:50
Uitgedeelde bedankjes: 84 keer
Bedankt: 153 keer
Recent bedankt: 5 keer

cadsite schreef: Ik zou niet weten waar mijn PUK is trouwens. Staat dat op hetzelfde bladje als de PIN?
Ja dat staat daarop ;)
Gebruikersavatar
cadsite
Elite Poster
Elite Poster
Berichten: 6126
Lid geworden op: 20 jan 2015, 16:10
Locatie: Kortrijk
Uitgedeelde bedankjes: 244 keer
Bedankt: 584 keer
Recent bedankt: 10 keer

Dan ben ik ni goed bezig.
De reservesleutel hangt dus mee aan de sleutelbos. :angel:
boonpwnz
Elite Poster
Elite Poster
Berichten: 5081
Lid geworden op: 05 jul 2017, 09:50
Uitgedeelde bedankjes: 84 keer
Bedankt: 153 keer
Recent bedankt: 5 keer

cadsite schreef: De reservesleutel hangt dus mee aan de sleutelbos. :angel:


Bij de aanvraag van uw eID krijgt u een brief met een pincode en een pukcode. Bij het afhalen van uw eID in het gemeentehuis, kunt u uw pincode wijzigen.

Kent u uw pincode niet meer of wilt u uw pincode deblokkeren (drie keer een foute code ingegeven), dan kunt u met uw pukcode (brief) op het gemeentehuis een nieuwe pincode aanmaken.
ITnetadmin
userbase crew
userbase crew
Berichten: 8974
Lid geworden op: 28 jan 2012, 18:22
Uitgedeelde bedankjes: 199 keer
Bedankt: 690 keer
Recent bedankt: 2 keer

cadsite schreef:Dan ben ik ni goed bezig.
De reservesleutel hangt dus mee aan de sleutelbos. :angel:
Niet helemaal, voor 2 redenen.
1) Je wordt altijd gevraagd (en het is aangeraden) om je PIN te wijzigen bij activatie van je kaart
2) Je krijgt een 6 cijferige PUK code, maar de PUK code heeft eigenlijk 12 cijfers; de overige 6 zitten in een database van (naart schijnt) het rijksregister.

Je hebt dus eigenlijk maar de halve achterdeursleutel, en de voordeursleutel had je moeten vervangen ;-)

Ik blijf het hallucinant vinden dat je de PUK code kan laten wijzigen.
Dit is gewoon gedaan voor gebruiksgemak, en we weten allemaal dat beveiling en gebruiksgemak mekaars tegengestelden zijn.
Een verloren PUKcode moet eigenlijk leiden tot een nieuwe kaart.
Laat staan dat de nieuwe PUK naar het gemeentehuis wordt gestuurd.
Dit brengt heel de non-repudiation van je private key in gevaar.
Gebruikersavatar
cadsite
Elite Poster
Elite Poster
Berichten: 6126
Lid geworden op: 20 jan 2015, 16:10
Locatie: Kortrijk
Uitgedeelde bedankjes: 244 keer
Bedankt: 584 keer
Recent bedankt: 10 keer

Die PUK zou er gewoon niet mogen zijn. Dat kan perfect met een vingerafdruk.
Maar dan zitten we weer op een ander spoor natuurlijk.
Gebruikersavatar
MClaeys
Elite Poster
Elite Poster
Berichten: 6044
Lid geworden op: 16 feb 2011, 22:43
Uitgedeelde bedankjes: 376 keer
Bedankt: 346 keer

Ik heb die brief nooit bijgehouden, bij afhaling heb ik altikd meteen mijn PIN gewijzigd en dat onthoud ik wel, kon je vroeger niet via de EID yool je pin wijzigen?
ubremoved_539
Deel van't meubilair
Deel van't meubilair
Berichten: 29849
Lid geworden op: 28 okt 2003, 09:17
Uitgedeelde bedankjes: 434 keer
Bedankt: 1972 keer

Dat kan je nog steeds.
Gebruikersavatar
MClaeys
Elite Poster
Elite Poster
Berichten: 6044
Lid geworden op: 16 feb 2011, 22:43
Uitgedeelde bedankjes: 376 keer
Bedankt: 346 keer

Dan zie ik het probleem niet echt. Ik vind het altijd raar als mijn ouders bij het invullen van de belastingen met hun briefje afkomen met hun pincode, omdat ze deze niet weten. Zelfde met mijn vrouw, vrijdag naar de dienst bevolking om het adres op de pas aan te passen, haar papier ligt al klaar :?
fvhbrugge
Elite Poster
Elite Poster
Berichten: 1597
Lid geworden op: 23 nov 2008, 20:38
Uitgedeelde bedankjes: 101 keer
Bedankt: 123 keer

Werking pincode en pukcode is hetzelfde als met simkaart van gsm.
Helemaal identiek
Plaats reactie

Terug naar “Allerlei”