Daarjuist in het districthuis geweest voor mijn nieuw paspoort (dat ik binnen drie weken ga ontvangen). Ik had enkele vragen, maar die konden niet beantwoord worden.
- Is het zo dat je zonder PIN-code alle persoonsgegevens kan lezen op een kaart ?
Antwoord van de stadsbediende: Nee, je PIN-code beschermt die.
Mijn reactie: Voor zover ik kan lezen online is dit toch mogelijk. Elk toestel waar je je E-ID in steekt kan alle persoonsgegevens (foto, adres, rijksregisternr, ... ) uitlezen zonder PIN-code.
- Wie beheert het sleutelpaar op de chip ?
Antwoord van de stadsbediende: Huh ?
- Er staat een private en een publieke sleutel op mijn paspoort. Van waar komen die ? Wie maakt die ? Wie heeft er kopiekes van ?
Antwoord van de stadsbediende: Wat is een sleutel ? Daar heb ik nog nooit van gehoord.
- De prive-sleutel van het sleutelpaar laat toe dat ik kan bewijzen wie ik ben, maar iedereen met een kopie kan dat ook.
Antwoord van de stadsbediende: Uw pincode beschermt alles, maar we kunnen die de-activeren.
Kan iemand me exact vertellen wat een de-activering nu inhoud ? Ik vermoed dat ik de kaart dan niet kan gebruiken voor online belastingen, maar dat nog steeds alle persoonsgegevens gelezen worden.
Zucht...stel ik nu zo'n moelijke vragen ? Ik kon twee jaar geleden begrijpen dat de bediende's in Linter nog niet op de hoogte waren, maar vandaag ? Zit de stad hier vol schaapjes die braaf ja knikken en de E-ID aanvaarden en met een veilig gevoel online gaan ? Met de E-ID in je kaartlezer beschikken zowat alle Windows programma's over je straat + huisnr + gemeente + rijksregisternr + geboortedatum + volledige naam + foto + geslacht + nationaliteit + geboorteplaats + adellijke titel + of ik blind ben +...
Ik zie het al gebeuren: je koopt iets online, en krijgt de rest van je leven reklame in je echte brievenbus... nee danku, ik doe niet mee. Die kaart blijft in mijn portefeuille totdat iemand me wat meer vertrouwen geeft.
6 comments:
Zonder PIN-code kan je alles lezen wat op de kaart staat. Je kaartje aan de ingang van het zwembad even in de kaartlezer? De persoon achter het loket heeft al je gegevens een een leuke .jpeg
Zonder PIN-code kan je echter niet bewijzen wie je bent, je kan niets ondertekenen.
Way het deactieveren betreft: geen idee. Wordt de sleutel ingetrokken?
Je kaart is wagenwijd open; je hebt geen pin-code nodig om iets te lezen.
Wel om een handtekening te zetten of aan te loggen (daar zijn verschillende keys voor). Een 'deactivering' zal inderdaad de keys deactiveren, zodat je die niet meer als handtekening kunt gebruiken (mogelijk lukt wel je belastingsaangifte nog, daar ben ik niet zeker van).
Alles is en blijft leesbaar zelfs als je de PIN 3 maal fout intikt en zo je kaart blokkeert. Op dat moment kan je de key niet meer als handtekening gebruiken. (Ik ben er reeds in geslaagd gezien ik ook testing doe met E-ID voor mijn bedrijf). Ook nog handig om weten: het is niet mogelijk om met de puk code de key te resetten zelfs, blijkbaar krijg je maar een halve puk code en heeft de overheid de andere helft dus moet je ermee terug naar het gemeentehuis om ze opnieuw te laten activeren. (en dit proces genereert automatisch een nieuwe pincode, maar die kan je dan wel weer aanpassen). Wat betreft het certificaat vind ik het vooral slecht dat de hoogste certificeringsinstantie blijkbaar het "Belgian government CA" is ... en ja in principe kunnen ze dus ook duplicaten van uw keys hebben, maar dat is net zoals een kopie van uw identiteitskaart, iedereen die bij die diensten werkt kon eigenlijk een duplicaat van uw kaart maken ...
Enkele antwoorden:
pin code: Alles van je ID kaart kan je lezen zonder pin, naam, adres, geboortedatum, rijksregistern... Dit was ook het geval met je oude (analoge) kaart. Enig verschil is dat het nu digitaal steelbaar is. Tip: haal je eID altijd asap uit de computer en geef hem niet aan iedereen.
beheer sleutelpaar: De CA van de overheid via Zetes. De private key wordt op een computer gegenereerd geupload in non-exportable op de kaart en gedelete (yes, in contrary to the security principles, maar de kaarten zijn cheapo kaarten en niet performant)
priv/pubkey: 'man pkcs11-tool', 'man pkcs15-tool' kunnen nuttig zijn. Zie: http://christophe.vandeplas.com/2008/06/26/eid-things
copie key: private key is non exportable. Dus behalve de kaart/chip exploiten kan niemand deze spoofen behalve de staat.
de-activering: certificates revoken. Eens ze geactiveerd zijn is het gemakkelijkste om de kaart te 'verliezen' en een nieuwe te vragen/betalen en voor het activeren de officiele procedure te volgen hiervoor.
Je zal wel geen gebruik kunnen maken van eID related applications.
merci allemaal voor de antwoorden!
paul
Ik heb er al evenveel vertrouwen in als jij. Je kan inderdaad zonder problemen alle gegevens uitlezen en het bewaren van public/private key op dezelfde kaart lijkt mij alles behalve gezond. Bovendien zou het mij niet verwonderen als er ergens een centrale database is van alle public/private keys die dan door minder officiële overheden gebruikt kunnen worden. Het feit dat zoïts totaal onwaarschijnlijk en ongeloofwaardig klinkt draagt bij tot de "plausible deniability" factor.
In tegenstelling tot ghosty ben ik er wel in geslaagd mijn PUK code via de computer te resetten.
En als het dan toch zo handig en zo veilig is, hoe komt het dan dat ik onlangs 80 euro heb mogen ophoesten voor een internationaal passport... erg veel aan men E-ID heb ik dus nog niet gehad, en denk ook niet dat ik er ooit iets zal aan hebben.
Er is blijkbaar niemand die weet waartoe het allemaal echt dient.
Post a Comment