myID.be - de volgende misser

[biot]

De nieuwe concurrent voor itsme is er: myID.be

https://datanews.knack.be/ict/nieuws/au ... 13271.html

Dit was als ik me goed herinner iets dat aangemoedigd (of aangestuurd) was vanuit de regering omdat itsme niet echt werd vertrouwd door de politiek.

Helaas, het is net zoals itsme een misser: de app werkt niet op rooted android devices met die ouwe dooddoener, "for security reasons".
De itsme/myid clients die "niet veilig" zijn op rooted devices is een klassiek voorbeeld van client-side security.

[edwin.d]

Het is natuurlijk voor je eigen veiligheid dat het niet werkt op rooted toestellen.
Ook bepaalde bankapps werken niet op deze toestellen.

It 's me werd te duur voor overheid..
It's me is een prive bedrijf die centjes vraagt voor het gebruik.

De overheid wil dus zelf met een gelijkaardige app komen.

Mvg

[biot]

Het is natuurlijk voor je eigen veiligheid dat het niet werkt op rooted toestellen.

Nee, dat is zoals ik al zei letterlijk client-side security. Het is NIET voor je veiligheid, het is security theater.

[Splitter]

dus...
de app die mensen ondertussen een beetje kennen,
en ontwikkeld werd door prive initiatieven (banken en co),
en aanvaard als authenticatie door de overheid....

die gaan ze nu vervangen/aanvullen door een nieuwe app,
die weer niemand kent, en weer door prive initiatief ontwikkeld is?

ik snap de overheid niet.
maak 1 app, van de overheid, en erken enkel die app,
ipv "een monopolie te doorbreken" dat niemand boeit, en door de overheid gecreerd werd.
(ze moeten itsme betalen? ocharme, dat krijg je als je een prive initiatief gaat gebruiken, duh)

nu zit je met meerdere prive bedrijven die gevoelige info van burgers kunnen krijgen,
de overheid met een groter mogelijk aanvalsoppervlak (want fod authenticatie, itmse, myid = 3 ipv 1),
en de burger met alweer iets dat ze moeten gaan leren gebruiken/vertrouwen (en phishing kansen vergroot)
en vergeet niet dat ze nu een duopolie kunnen uitwerken waarbij de overheid nog steeds "teveel" moet betalen (van ons geld...)

mijn probleem zit hem echt niet in of het wel of niet op rooted devices werkt, maar vooral in wat voor nutteloze zaken ons al te kleine overheidsbudget in verdwijnt,
onder het mom "goed voor de burger" terwijl die er geen fluit om geeft (dat het overheidsgeld is, boeit natuurlijk wel, maar ze geven het nog steeds uit nu)

[bollegijs]

It 's me werd te duur voor overheid..
It's me is een prive bedrijf die centjes vraagt voor het gebruik.

WOW, dit is zo vreemd te lezen na decennia's van "privatiseren want overheidsinstaties slurpen geld". Hopelijk zet men die trend door!

[ivob]

ik snap de overheid niet.
maak 1 app, van de overheid, en erken enkel die app,
ipv "een monopolie te doorbreken" dat niemand boeit, en door de overheid gecreerd werd.
(ze moeten itsme betalen? ocharme, dat krijg je als je een prive initiatief gaat gebruiken, duh)

Is nochtans niet zo moeilijk te begrijpen.
De voorbije jaren werd "de overheid" afgebouwd en uitverkocht tot er nauwelijks nog iets overbleef die naam waardig.
Wanneer "de overheid" diensten wil verlenen zal ze (zeker in deze context) dus ook beroep moeten doen op de diensten van privé-bedrijven en daarvoor de marktprijs betalen. Of dacht je dat de https://www.smals.be/nl van deze wereld tegen kostprijs hun diensten aanbieden?

[Dizzy]

Ik heb de nieuwe app geprobeerd en met enige moeite aan de praat gekregen. Eén van de problemen is dat je de app moet activeren en dat moet met een kaartlezer. Hoeveel mensen hebben dat via hun smartphone? Je moet dus ook een PC hebben en dan nog is het knoeien met middleware en bij de tweede browser en na herstarten werkte het.

Ook het overzetten van it's me op een nieuwe GSM was dezelfde calvarietocht. Maar ja, wie wisselt nu ook van GSM.

Op zich ben ik niet tegen deze toepassingen want het is heel handig eens het werkt.

Dat het privé is en geld kost is ook geen probleem maar niet tot het oneindige. De overheid werkt met publiek geld en het is hen opgevallen dat it's me hen pakken geld kost voor iets dat grotendeels automatisch verloopt en niet zo duur hoort te zijn. Logisch dat men nu dus andere toepassingen kiest. Hopelijk zal de concurrentie wat druk op de prijzen zetten.

[johann]

Als ik het goed begrijp, moet er steeds een QR-code gescand worden? Dus het raadplegen van een site waarop aangemeld moet worden op een smartphone leidt naar een doodlopend straatje?

[bollegijs]

Ze kunnen geen gebruik maken van het klantenbestand van de banken -waar al bewezen werd dat jij jij bent adhv copy id- zoals ItsMe

[Dizzy]

Dus als je geen Belgische bankrekening hebt kan je it's me niet gebruiken. Je bent pas jezelf als je klant bent bij een Belgische bank

[bollegijs]

Dus als je geen Belgische bankrekening hebt kan je it's me niet gebruiken. Je bent pas jezelf als je klant bent bij een Belgische bank

Dan zal je de route van myID moeten opgaan gok ik: bakstje zoeken...

[ivob]

Dan zal je de route van myID moeten opgaan gok ik: bakstje zoeken...

Uiteraard zijn er andere manieren dan een Belgische bankapp om je bij itsme te registreren.
Want niet alle Belgische banken en hun app zijn er voor geschikt.

[silentkiller]

Als ik het goed begrijp, moet er steeds een QR-code gescand worden? Dus het raadplegen van een site waarop aangemeld moet worden op een smartphone leidt naar een doodlopend straatje?

Neen, dat werkt properkes via een redirect naar de app

[seppe]

Ik mis wel vingerafdruk verificatie bij myId. Werkte wel bij Itsme app......

Toegevoegd na 1 uur 57 minuten 2 seconden:
En dit is het antwoord op vingerafdruk verificatie van support myID;

Beste,

Wij hebben momenteel geen concrete plannen om ook biometrie (bijv. vingerafdruk of gezichtsherkenning) te gebruiken, omdat die door de Belgische en Europese overheden als minder veilig wordt beschouwd dan het gebruik van een PIN.

We sluiten niet uit dat we in de toekomst biometrie toevoegen voor applicaties die minder hoge vereisten hebben op het gebied van de veiligheid.

Met vriendelijke groeten,
Het myID.be team.

[devilkin]

Is er iets van info beschikbaar over audits van de applicatie en de backend?

Bij itsme kan ik daar info over vinden, van dit ding...

[bartman]

Ik heb de nieuwe app geprobeerd en met enige moeite aan de praat gekregen. Eén van de problemen is dat je de app moet activeren en dat moet met een kaartlezer. Hoeveel mensen hebben dat via hun smartphone? Je moet dus ook een PC hebben en dan nog is het knoeien met middleware en bij de tweede browser en na herstarten werkte het.

Ook het overzetten van it's me op een nieuwe GSM was dezelfde calvarietocht. Maar ja, wie wisselt nu ook van GSM.

Op zich ben ik niet tegen deze toepassingen want het is heel handig eens het werkt.

Dat het privé is en geld kost is ook geen probleem maar niet tot het oneindige. De overheid werkt met publiek geld en het is hen opgevallen dat it's me hen pakken geld kost voor iets dat grotendeels automatisch verloopt en niet zo duur hoort te zijn. Logisch dat men nu dus andere toepassingen kiest. Hopelijk zal de concurrentie wat druk op de prijzen zetten.

voor de activatie van itsme moet je toch ook je identiteitskaart + kaartlezer bij de hand hebben? Vond de activatie van MyID vlotter verlopen en snap niet goed dat van die middelware en meerdere browsers moest probereren. Ging hier direct via edge

Verstuurd vanaf mijn SM-G973F met Tapatalk

[Vaganzza]

Ik mis wel vingerafdruk verificatie bij myId. Werkte wel bij Itsme app......

Toegevoegd na 1 uur 57 minuten 2 seconden:
En dit is het antwoord op vingerafdruk verificatie van support myID;

Beste,

Wij hebben momenteel geen concrete plannen om ook biometrie (bijv. vingerafdruk of gezichtsherkenning) te gebruiken, omdat die door de Belgische en Europese overheden als minder veilig wordt beschouwd dan het gebruik van een PIN.

We sluiten niet uit dat we in de toekomst biometrie toevoegen voor applicaties die minder hoge vereisten hebben op het gebied van de veiligheid.

Met vriendelijke groeten,
Het myID.be team.

Wat een belachelijke uitleg. Het is toch al lang bewezen dat deze manieren van identificeren niet minder veilig zijn dan een pincode... Dit gaat een grote issue worden voor vele gebruikers, want bij itsme is het wel gewoon ondersteund. Denk niet dat ze daar al veel problemen mee gehad hebben.

[marzman]

De overheid heeft een manier van inloggen, maar die is erg onhandig. Lijkt me ook handiger als ze zelf een app maken.

[bollegijs]

De overheid heeft een manier van inloggen, maar die is erg onhandig. Lijkt me ook handiger als ze zelf een app maken.

Ware nostalgie, met dat blad tokens die je kreeg

[Splitter]

De overheid heeft een manier van inloggen, maar die is erg onhandig. Lijkt me ook handiger als ze zelf een app maken.

wat is er niet handig aan je eid in de lezer en pincode ingeven ?

de tokens, dat was inderdaad minder handig, maar met eid, pincode, en lezer... daar zie ik echt het probleem niet.

[biot]

wat is er niet handig aan je eid in de lezer en pincode ingeven ?

de tokens, dat was inderdaad minder handig, maar met eid, pincode, en lezer... daar zie ik echt het probleem niet.

In de praktijk werkt het zelden vlekkeloos -- de middleware geeft problemen, de browser ook, 't is altijd wel iets. Bovendien moet je de lezer gaan vinden en insteken, EID kaart halen, PIN gaan opzoeken want die gebruik je zelden.

En dat alles is extra moeilijk of onmogelijk op mobile toestellen, want die hebben geen USB A connector voor de lezer.

De overheid heeft groot gelijk dat ze mobile-first authenticatie aanmoedigen. Mijn enige probleem met itsme/myid is die belachelijke client-side security. Het zijn echt gemiste kansen.

[Splitter]

ik zit voornamelijk op linux met firefox en chrome, geen van beide heeft me ooit issues gegeven.
kaartlezer zit ingebouwd in het toetsenbord en de eid zit bij mijn portefeuille die ik normaal bij me heb... voor mijn use case is er dus niets aan de hand.
dat het niet zo eenvoudig is op mobile... mja, ik doe niks van de overheid op mobile dus ook dat maakt mij bitter weinig uit (ik ga geen documenten zitten lezen op gsm)

mijn probleem met itsme/myid is dat het prive partners zijn die gegevens van je krijgen zonder dat dat had gehoeven, dat stoort me meer dan dat "niet werken op rooted devices"
(wees nu zelf eerlijk, hoeveel mensen gaan er rooted devices gebruiken? voor die apps ? het zullen er bitter weinig zijn.)

ik had vroeger een rooted device (en daar krijg je mits wat deftig gebruik ook die apps op draaiend trouwens).... maar zowat elke use-case die ik had is ondertussen verdwenen voor rooted androids te hebben.

[biot]

ik zit voornamelijk op linux met firefox en chrome, geen van beide heeft me ooit issues gegeven.
kaartlezer zit ingebouwd in het toetsenbord en de eid zit bij mijn portefeuille die ik normaal bij me heb... voor mijn use case is er dus niets aan de hand.
dat het niet zo eenvoudig is op mobile... mja, ik doe niks van de overheid op mobile dus ook dat maakt mij bitter weinig uit (ik ga geen documenten zitten lezen op gsm)

Het gaat niet over u, maar om die andere 11 miljoen Belgen. Het EID systeem is in de praktijk onhandig gebleken, vandaar actie van de overheid. Het is niet voor de grap dat ze itsme en myid steunen.

mijn probleem met itsme/myid is dat het prive partners zijn die gegevens van je krijgen zonder dat dat had gehoeven, dat stoort me meer dan dat "niet werken op rooted devices"
(wees nu zelf eerlijk, hoeveel mensen gaan er rooted devices gebruiken? voor die apps ? het zullen er bitter weinig zijn.)

Leg ik het nu echt zo slecht uit? Het gaat hem om het feit dat het CLIENT-SIDE SECURITY is.

[ahrand]

En dat alles is extra moeilijk of onmogelijk op mobile toestellen, want die hebben geen USB A connector voor de lezer.

Hier is toch een misinterpretatie denk ik: die e-ID + kaartlezer heb je enkel nodig op je PC/laptop bij het activeren. Eens ingeschreven en actieve app heb je die niet meer nodig. Dan is het enkel nog maar een QR scannen en (zelf gekozen) PIN code ingeven.
Heb je het al eens geprobeerd ? Bij mij was het letterlijk binnen de minuut helemaal in orde. Dat heb ik met nog geen één authenticatie app ooit zo snel gehad...

[Splitter]

Het gaat niet over u, maar om die andere 11 miljoen Belgen. Het EID systeem is in de praktijk onhandig gebleken, vandaar actie van de overheid. Het is niet voor de grap dat ze itsme en myid steunen.

nee, het gaat inderdaad niet over mij... maar de reden dat ze actie nemen is gewoon "omdat het kan" en "iemand het verkocht kreeg" volgens mij,
en niet zozeer "omdat het de burger beter zal dienen" (dat is gewoon een leuke plus)
maar dat zal met mijn redenering over onze overheidsefficientie te maken hebben.

Leg ik het nu echt zo slecht uit? Het gaat hem om het feit dat het CLIENT-SIDE SECURITY is.

het is het extra beperken van een mogelijke attackvector, waar niets mis mee is, en wat voor die 11 miljoen belgen geen probleem zal vormen.
een rooted device geeft apps volledige toegang tot alles binnen het OS, inclusief dus zaken die gemaakt zijn om secure te zijn,
en dat bewust wel toelaten is een onnodig toegevoegd risico.... dus waarom zou je dat doen?

het is natuurlijk wel te hopen dat dat natuurlijk niet hun énige security is... maar zoals al aangehaald: heeft iemand ergens een audit van de app?
zou er uberhaupt zelfs een onafhankelijke audit gebeurd zijn ?

[biot]

het is het extra beperken van een mogelijke attackvector, waar niets mis mee is, en wat voor die 11 miljoen belgen geen probleem zal vormen.

Neen. Een foute, triviaal te overkomen security "feature" toevoegen maakt het product niet beter. Dat is, zoals ik al eerder zei, in het beste geval security theater. In het slechtste geval is het gewoon obfuscatie -- ook een misfeature -- die dient om evtl. gebrekkige security te verdoezelen: je kan dan moeilijker de app afhalen/decompileren/auditen. Dit is dus ofwel incompetentie weggestoken achter theater, ofwel ronduit kwade wil.

Je ziet dat wel meer natuurlijk, maar wat me zorgen baart is dat security het volledige doel is achter itsme en myid, en het is zelfs op het eerste gezicht al fout. Als een security product al faalt bij een basic common sense oefening, dan is het, zoals de Britten zeggen, "not fit for purpose".

Merk vooral op dat het EID systeem niet rekent op client side security.

een rooted device geeft apps volledige toegang tot alles binnen het OS, inclusief dus zaken die gemaakt zijn om secure te zijn,
en dat bewust wel toelaten is een onnodig toegevoegd risico.... dus waarom zou je dat doen?

Omdat het triviaal is om bvb. een Android toestel te laten zeggen dat het niet geroot is, zelfs al is het dat wel. Als de client (Android) zegt aan de server dat het ok is, en de server gelooft dat, da's dus de definitie van client-side security. Het is hallucinant dat zowel itsme and myid dit fundamenteel niet begrijpen.

het is natuurlijk wel te hopen dat dat natuurlijk niet hun énige security is... maar zoals al aangehaald: heeft iemand ergens een audit van de app?
zou er uberhaupt zelfs een onafhankelijke audit gebeurd zijn ?

Bij itsme had ik een audit rapport gezien van een unief dacht ik, maar het ging hem eerder om het encryptie-algorithme, of in elk geval over de onderliggende cryptographie van de client (en was redelijk onleesbaar voor ne gewone mens zoals ik). Het was geen audit over de client applicatie(s), laat staan de servers.

[seagull]

myID werkt wel en het is sneller dan itsme

[johcla]

Een goede app controleert enkel of je toestel geroot is; maar blokkeert niet. Als je gewoon je maandelijkse telecom-abonnement betaalt, is het geen probleem dat het toestel geroot is. Als je plots een betaling door naar een onbekend buitenlands nummer, kan het rooten een extra parameter zijn voor de bank om de betaling te riskant te vinden en een bijkomende verificatie op een ander toestel te vragen.

itsme en myid zouden ook zo moeten werken: rooted toestellen toestaan, maar de info wel doorgeven naar de oproepende dienst, zodat die er rekening mee kan houden bij het toekennen van authorisaties. Ze zijn Identity provider en moeten enkel de identiteit doorgeven, met de nodige context om de betrouwbaarheid ervan te kunnen evalueren.

Voor de volledigheid: ik raad vanuit security ook het gebruik van rooted toestellen af, maar dat is een andere discussie.

[Goztow]

Moest je nu gewoon myid kunnen activeren via een bevestiging in itsme dan pas zou het gebruiksvriendelijk zijn.

[iceke]

Eigenlijk is dit heel simpel... Overheid doet beroep op privé om een auth app te ontwikkelen, privé vraagt 1.5€ per aanmelding( per aanmelding hé, niet per gelukte aanmelding)....app = te succesvol en kost dus hopen geld aan die overheid.


Hoe los je zoiets op als overheid ? Gaan onderhandelen over die afgesproken prijzen of een andere privé bedrijf krak dezelfde app laten ontwikkelen om het eerste bedrijf onder druk te zetten ?
'k vraag me echt af hoeveel nutteloos geld dat weeral gekost heeft ? Imho is itsme veilig, zijn er amper onderbrekingen en is het vrij duidelijk in het gebruik.
De keren dat ik hun helpdeks nodig had (nieuw gsm nummer gaat bv. niet automatisch) werd dit altijd binnen een aanvaardbare tijd opgelost(binnen de 24h,in volle corona crisis, op het moment dat je itsme nodig had om een pint te kunnen gaan pakken)
Ik ken -hahum, fluvius- andere bedrijven waar dit compleet uit de hand loopt en je de eerste 14 dagen geen antwoord hoeft te verwachten.

[crackjack]

Dan lijkt myID wel goedkoper uit te vallen

onderaan

Je kan kiezen tussen twee formules:

0,40 € (excl. BTW) per actieve gebruiker per maand (de maandelijkse formule)
of 0,95 € (excl. BTW) per actieve gebruiker per jaar (de jaarlijkse formule)
Advanced Digital Signatures: 0,95 € (excl. BTW) per handtekening

[WalterB1]

Interessant. Ik had er een poos geleden iets over vernomen. Maar ik meende begrepen te hebben dat BOSA zelf een eigen app ging lanceren, niet een andere commerciële aanbieder.

Uitdaging zal natuurlijk zijn om aanbieders van diensten zover te krijgen dat ze die sleutel willen gebruiken. Op 'Mijn digitale sleutels' en 'Myminfin' werkt het al. Vermoedelijk zal het werken reeds op de meeste federale websites.

Op Vlaamse eloketten nog niet. Lijkt waarschijnlijk dat dit nog wel zal komen. Maar waar Itsme sterk staat is de bij de echte private bedrijven, vooral banken. Dat zal twijfelachtig zijn. De banken zijn toch mede-aandeelhouder van Itsme dacht ik?

Ik installeerde en activeerde app. Een paar verschillen, voordelen, waar ik blij mee ben tegenover Itsme;
- de activatie met eID verloopt bij MyID met de gewone middleware. (= kan MyID activeren op Linux) Itsme werkt met speciale spoftware voor het uitlezen van de eID (Connective browser) ( = win of macOS

- de MyID app is 11,41mb. Itsme pakt bij mij in 74,33mb ; voor wie plaats genoeg heeft op zijn toestel maakt dat niets uit. Ik zit in constante opslagnood. En nog beter! Ik kan de MyID app verplaatsen naar de SD-kaart (en het werkt nog steeds). De Itsme-app moet op de interne opslag staan.

- de app is zeer vlotjes en eenvoudig in gebruik. Gaat een stuk sneller dan met Itsme

[honda4life]

Het feit dat ik:

1. M'n kaartlezer moest gaan zoeken.
2. De drivers weer mocht updaten
3. Mijn identiteitskaart nemen
4. De chip nog eens mocht afkuisen
4. Dat verdomde papiertje met m'n PIN code zoeken
5. Alles weer opbergen

... Hoe kan dit nu eenvoudiger zijn dan itsme dat je gewoon via je bankkaart kan activeren?
Je moet nog een kaartlezer hebben de dag van vandaag.
Hoe kan dit in godsnaam werken zonder je gedwongen wordt in deze richting?

Om vervolgens ergens aan te melden en geen vingegerafdruk te kunnen gebruiken...

[WalterB1]

Ik heb wel begrip voor het gebruik van de eID. De Belgische eID is een primaire digitale sleutel. Itsme en MyID zijn secundaire.

Het is logisch dat om een secundaire sleutel te activeren men dat moet doen met een primaire, de eID. Bij de activatie van Itsme kan dat gebeuren of met eID direct. Of via de bank.

De bank heeft de eID uitgelezen en bevestigde zo de identiteit van de klant. En Itsme gaat dan de identiteit krijgen van de bank. Eigenlijk is het dan een sleutel in 3de rang.

Aangezien handelingen gedaan met zo'n digitale sleutel de kracht hebben van je handtekening (denk zonder de optie om te kunnen ontkennen dat je het niet heb gedaan) mag dit wel wat ingewikkelder zijn dan registeren voor een gratis e-mailadres.

[vverbeke]

Dan lijkt myID wel goedkoper uit te vallen

onderaan

Je kan kiezen tussen twee formules:

0,40 € (excl. BTW) per actieve gebruiker per maand (de maandelijkse formule)
of 0,95 € (excl. BTW) per actieve gebruiker per jaar (de jaarlijkse formule)
Advanced Digital Signatures: 0,95 € (excl. BTW) per handtekening

Dat is effectief goedkoper dan wat itsme vraagt...

[Luboli]

De overheid is nochtans de grootste aandeelhouder van itsme via hun investeringsmaatschappij, en grootaandeelhouder van proximus die ook een aanzienlijk aandeel bezit. Belfius (die 100% in handen is van de investeringsmaatschappij), nog eens een groot deel.
Prijzen hadden ze zelf wel naar beneden kunnen halen als dat mogelijk geweest was, maar itsme is gewoon nog niet winstgevend, zelfs met de hoge kosten.
Nu laten ze een 2de speler toe, maar tegelijkertijd ontwikkeld de overheid zelf nog een 3e app via fod bosa?

[seagull]

1. M'n kaartlezer moest gaan zoeken.
2. De drivers weer mocht updaten
3. Mijn identiteitskaart nemen
4. De chip nog eens mocht afkuisen
4. Dat verdomde papiertje met m'n PIN code zoeken
5. Alles weer opbergen

Ik gebruik eID verschillende keren per dag.
Mijn identiteitskaart zit constant in mijn laptop.

[WalterB1]

Een nieuwe digitale sleutel kan ook weer snel terug weg zijn. Denk aan 'aanmelden met draadloze eID-lezer". Die was na een jaar of twee terug weg.

[fred_be9300]

Goed om weten. Als ik hier lees dat een aanmelding met itsme zoveel meer kost, dan voel ik het als mijn verantwoordelijkheid om een steentje bij te dragen en de goedkopere optie te gebruiken, op bvb overheid sites, mutualiteit, etc

Jammer dat ik het niet nu meteen met alleen de smartphone kan activeren, maar ik begrijp wel waarom

Ik hoop wel dat de twee providers (itsme, myid) op een level playing field aan het spelen zijn.

[WalterB1]

Meerdere sleutels hebben blijft handig. Poogde zojuist in te loggen loket ziekenfonds. Via Itsme wou het niet werken. Via aanmelden met mobiele app werkte het wel.

Verbaasde mij om te zien dat ook federaal token en via code via email een optie was.