Banks as identity providers?


Last week I presented on why banks should or shouldn’t become identity providers. This was during a gathering of PIMN / ECP, a Dutch community on digital identity related matters. The subject was eID developments in the Netherlands, with also talks on a.o. Remote Document Authentication (by RDW, as step-up authentication for DigiD, together with DUO), IMRA (by Radboud University, applying Idemix in a mobile setting) and NotarisID (public notaries as identity providers). RDA we’re currenty involved in, IRMA and NotarisID we were in earlier stages, and it was interesting to see where these are heading.

Getting back to banks as identity providers, also known as BankID. This is again, or still, a hot subject in the Netherlands since the banking sector is considering this. Not for the first time. The first time I’m aware of was in 2004 (with SURFnet). And in 2010 I was heavily involved in the cidSafe project which tried to define a trust frameworks in which banks would offer their online banking identities to insurance companies (and others).

Read the rest of this entry »

FIDO and its place in the eID ecosystem



FIDO stands for Fast Identity Online. FIDO is a new authentication specification that makes it easier to integrate with and re-use non-password authentication means: what-you-have and what-you-are. The specification was published in a v1.0 version last December by the FIDO Alliance, which unites an impressive list of large companies (e.g., Microsoft, Google, Samsung) and smaller authentication companies (e.g., Authasas, Yubico, Nok Nok Labs) to “define an open, scalable, interoperable set of mechanisms that supplant reliance on passwords to securely authenticate users of online services”.

Last Friday (23 January 2015) PIMN organized a seminar on FIDO,  which was fully booked with a waiting list even. In this blogpost I’ll summarize what I learned and what I presented on “FIDO and its place in the identity ecosystem”.

Read the rest of this entry »

Re-usable identities instead of different passwords everywhere



Below is a blog post in Dutch on re-usable identities instead of different passwords for all websites. The trigger for the blogpost is that Hold Security released the Dutch (or actually, .nl) part of the logindata/emailadresses that they discovered to be hacked. The NCSC (National Dutch Cyber Security Centre) IMHO focusses to much on educating users to prevent this, contrary to fnding/promoting solutions such as re-usable identities, including the Dutch eID Stelsel NL (similar to NSTIC in the US).

Read the rest of this entry »

Crowdsourcing a higher Level of Assurance for digital identities




[cross-posted from IDnext website/news]

Two-factor authentication is becoming more and more popular. In the ‘old days’, it was mostly used by companies and online banking. Very few other services bothered users with two-factor authentication. But now, with new services providing access to privacy-sensitive information and/or becoming more important to us, service providers are becoming increasingly concerned about the identity of the people that they are authenticating – are they really the people they say they are? They feel the need to use two-factor authentication, even if it is costly and if it means that they risk annoying users.

The industry developed the Level of Assurance concept as a means of checking the trustworthiness of a digital identity. A digital identity is determined by the authentication means, such as a smartcard, text message, one-time password etc., and the registration process. The latter is often neglected, despite being very important. It is often also really expensive as well as annoying for the users. Ideally, doing a face-to-face check should be part of any correctly completed registration process. This is expensive, as it involves hiring skilled professionals, providing a working space and so on. Moreover, it annoys users, as it requires them to go somewhere and take action. Obviously, the expense depends on how the registration process is organised, and on its scale, but will cost between € 10 and € 100 per user.

Reusable identities are useful as the user goes through the process only once and can then authenticate himself to many services. The costs can be divided among the services and the user only gets annoyed once. Standards that define discrete levels are available in order to communicate the trustworthiness of a reusable identity. In Europe, the STORK levels are probably the most commonly used standard, although strictly speaking it is not a standard but a project deliverable edited by my colleague, Bob Hulsebosch.

Bob was tasked with writing the STORK levels with government issued/approved digital identities in mind, since the STORK project is about federated national digital identity solutions. For the higher levels of assurance, this means a strict face-to-face process. But the costs of many user types, such as age verification or insurance services, are too high. During the last three years or so, we also worked with clients on more ‘creative’ registration processes to provide the necessary level of assurance without resorting to face-to-face checks. This is partly because in the Netherlands, there is no re-usable identity available for consumer-to-business services (only government-to-consumer services). Typically, this creativity makes use of one or more derived identities. By “derived” I mean that we use a previously established identity, even without the permission of the issuer of that identity.

One example of how this process is used is the banking sector in which the user transfers a set amount of money. PayPal works in this way. We combine these derived identities with remote verification steps such as using an NFC app to read the ICAO chip that is in everyone’s passport.
We are now collaborating with SURFnet, part of Géant3plus’ Open Calls programme, to explore a new creative direction: crowdsourcing Levels of Assurance. We are basing our approach on the web of trust concept, as used in PGP for example. In this concept, users can vouch for other users, thereby creating a decentralised way of building up trust. We do this for users in an interfederation, re-using existing trust relationships wherever possible, such as those in social networks and PGP. We have a first prototype in which users authenticate themselves to an “Attestation Service” and then link their LinkedIn account (and PGP key) to their federation account.

The Attestation Service contacts “Helpers” from, in this case, the users’ LinkedIn networks to explicitly vouch for the identity of the user. The more contacts the users have, the higher the Level of Assurance. We are evaluating the prototype to determine our highest STORK level, including how to apply the concept to specific attributes such as mobile phone numbers.

PayPal and Dutch banks as identity provider



Today I received an email from PayPal to inform me on updates they are making in their legal terms related to “Log in with PayPal”. That PayPal wants to be an identity provider is nothing new, but this update was a good reason to blog about opportunities for Dutch banks to introduce innovative services in the area of digital identity. See below the cross-post in Dutch from the InnoValor website on this subject.

PayPal en banken als inlogmethode

Paypal heeft vandaag aanpassingen aan de gebruikersovereenkomst bekend gemaakt. Opvallendste voor mij was de toevoeging van “PayPal als inlogmethode”, oftewel, PayPal als identity provider. PayPal is overigens al langere tijd zich aan het positioneren als identity provider. ”PayPal als inloginmethode” is erg vergelijkbaar met hoe Facebook Connect of andere social logins werken, je logt in bij een wesite van een derde partij door op een button te klikken die je browser redirect naar bijvoorbeeld Facebook waar je inlogt met de gebruikersnaam/wachtwoord die je gebruikt voor Facebook. Qua user experience en werking niet heel veel anders dan DigiD overigens. Geen nieuwe wachtwoorden voor elke site, minder gedoe met registreren etc. Voor de techies: PayPal gebruikt OpenID Connect hiervoor, DigiD gebruikt SAML.

Read the rest of this entry »

What if I want to share my data from my bank with others?


This is a cross-post from a blogpost in Dutch on the InnoValor site in which I provide my view of the announcement of and responses to the plans of the Dutch bank ING on providing personal data they have to third parties (after opt-in).

En wat als ik mijn bancaire klantdata nu wil delen?

Er is sinds het interview in de FD van 10 maart jl. veel aandacht geweest voor het plan van de ING om een proef te gaan doen met het delen van klantdata met derden. ING heeft hier blijkbaar onderschat wat voor reacties dit plan zou oproepen, wat misschien wel een beetje naïef is geweest, zeker na wat er met Equens gebeurde vorig jaar. Ze hebben het plan voorlopig ook in de koelkast gezet en gaan eerst werken aan draagvlak bij toezichthouders, consumentenorganisaties en privacy-organisaties. Ze konden weinig anders meer doen lijkt me.

Maar zijn al die negatieve reacties wel terecht ? Het ligt wat mij betreft aan de manier waarop een bank klantdata zou delen of dit een goed of een slecht idee is. En het belangrijkste hierbij is of degene waar die data over gaat, de consument, dit wil. Read the rest of this entry »

Another DigiD incident: we’d better hurry up


The latest security incident with the Dutch eID solution DigiD was all over the Dutch media. The DigiD of about 150 citizens from Amsterdam was stolen in December. The identity thiefs then used these DigiDs to change the bank account number for pensions etc from the victims. Although, in my opinion, DigiD is a success since it is used a lot, we really need to make it more secure. There are plans for this, but no final decision has been made. Below a more elaborate blog post in Dutch.

Weer DigiD fraude: we hebben haast

DigiD stond vanochtend weer groot en negatief in de landelijke kranten (bv Volkskant, NRC). Dit maal blijkt de DigiD van 150 Amsterdammers gestolen zodat uitkeringen en toeslagen naar criminelen konden worden overgemaakt. Het gaat hier om een bekende zwakheid bij DigiD: het wachtwoord wordt via de post verspreid dus iemand die je brievenbus ‘hengelt’, een criminele PostNL medewerker of iemand met toegang tot je huis kan vrij makkelijk jouw DigiD stelen. Hoewel ik inschat dat de financiële schade van deze 150 gevallen wel mee zal vallen ten opzichte van de investeringen voor een veiligere eID oplossing, is het erg vervelend voor de 150 mensen die het overkomt en is het slecht voor het vertrouwen in de elektronische overheid. En er zijn meer incidenten geweest en er zullen er meer komen.

DigiD is ontworpen als een laagdrempelig en relatief goedkope identiteitsoplossing. En vergeet niet, het is een succesvolle oplossing. Hierbij is de maatstaf voor succes of het gebruikt wordt. DigiD wordt veel gebruikt, ook in vergelijking met onze buurlanden. Het DigiD gebruik stijgt ook nog steeds, tot 100 miljoen keer afgelopen jaar. Er moet nu alleen wel tempo gemaakt worden met een opvolger. Ik heb al het nodige geblogd over deze opvolger: het eID stelsel NL en een DigiD smartcard, dat ga ik hier niet herhalen. Wel vind ik het opvallend dat ook nu, in bijvoorbeeld de Volkskant, bij dit incident een smartcard als oplossing wordt gepresenteerd. Maar als die smartcard gewoon via de post opgestuurd zou worden gaat dit echt niet helpen. Dat betekent niet dat ik niet vind dat een veiliger authenticatiemiddel geen goed idee is, maar de urgentie lijkt me meer in een veiligere uitreiking van het authenticatiemiddel. Dit komt meestal neer op een face-2-face uitreiking van het wachtwoord of smartcard, in plaats van per post.

Vlak voor kerst is een kamerbrief over eID stelsel en DigiD-kaart verschenen. Deze bevatte weinig verrassingen en een paar keuzes over met name wat privaat en wat publiek zal worden in het eID stelsel. Een citaat uit deze brief:

De definitieve besluitvorming over de inrichting van het eID Stelsel en de introductie van de DigiD-kaart kan pas plaatsvinden als de hiermee samenhangende uitgaven en ontvangsten volledig in kaart zijn gebracht en alle uitgaven zijn gedekt. De Tweede Kamer zal hier op een later tijdstip nader over geïnformeerd worden.

Gezien de toenemende problemen met DigiD hoop ik dat er ook snel tot daadwerkelijk besluitvorming inclusief financiering overgegaan wordt. Dan kunnen publieke en private partijen hierop inspelen en kan Nederland een volgende stap zetten naar betrouwbaardere digitale dienstverlening (overheid en bedrijfsleven). Dit geldt overigens ook mocht het eID stelsel en/of DigiD-kaart alsnog struikelen of in een beperkte vorm worden ingevoerd. Beter dat dit snel duidelijk is zodat marktinitiatieven de ruimte hebben. En als voor wat voor reden dan ook een opvolger van DigiD te lang op zich laat wachten, dan kan overwogen worden als tussenoplossing DigiDs via het gemeentehuis i.p.v. via de post uit te reiken.