Novay Tuesday Update - Digitale identiteiten: herbruikbaar en mobiel

Digitale identiteiten:
herbruikbaar en mobiel
Maarten Wegdam
Tuesday Update – 2 oktober 2012

Agenda

Vertrouwen en herbruikbare identiteiten

Mobiel

Context-enhanced authorization

2 Tuesday Update - 2 okt 2012

Noodzaak tot online vertrouwen

“Elektronische-identiteitstechnologieën (e-ID)
en authenticatiediensten zijn van essentieel
belang voor internettransacties in de
particuliere en de openbare sector.”

“Intussen blijft het gebrek aan vertrouwen in de
online omgeving de ontwikkeling van de
Europese online economie een spaak in het
wiel steken.”

[EU digitale agenda, 2011]


Internetbankieren fraude statistieken

4
[NVB, met 2012 geëxtrapoleerd]
Tuesday Update - 2 okt 2012

Hoe erg is dit?

Directe schade
veel hoger dan winst criminelen
[“Measuring the cost of cybercrime”,
Anderson, Van Eeten e.a., WIES 2012]

Kosten ter voorkoming

Rem op e-dienstverlening:
vertrouwen bij gebruikers en
Rem op e-dienstverlening dienstaanbieders


Hergebruik identiteiten
– 4 party model –

identity
broker/hub
provider

gebruiker relying party


Online hergebruik betrouwbare identiteiten is erg beperkt 
• Behalve DigiD
• Indirect: via geld overmaken etc

Wel hergebruik offline identiteit:
paspoort!!


Status hergebruik IDs in NL:
– impasse duurt voort ?

[2011 Tuesday Update]

Wie vertrouwen we?

Overheid
Bank
Telecom operator
Notaris
Een gespecialiseerde MBK-er
Een stichting
Postbedrijf
Social network


Trust framework

identity
provider broker/hub

trust framework
beheerder

gebruiker relying party


Relying party perspectief

X aantal ‘eigen (online) identiteiten‘
• Wisselend of onbekend registratieproces
• Sommige gebruikers meerdere
• Gebruikersnaam/wachtwoord, soms SMS
• Soms mogen ze deels DigiD gebruiken

Gevolgen
• Irritatie bij gebruikers
• Verminderd gebruik online kanaal
• Vermijdbare kosten (bv helpdesk)


Dilemma’s relying party

Mixen DigiD, eigen, sociale en
betrouwbare externe identiteiten ?

Hoe toekomstvast (= agile) worden ?

Gemak vs kosten vs betrouwbaarheid
vs complexiteit vs coverage ?


Betrouwbaarheidsniveaus

Standaardiseer op (4) discrete levels

Combi technologie EN proces

Voordeel: schaalbaarheid, ontkoppeling

[STORK] [NIST] [eHerkenning] [ISO/IEC
29115 ]


disclaimer:
gesimplificeerd!
STORK betrouwbaarheidsniveaus in 1 slide

# Authenticatiemiddel Proces Voorbeeld
1 Gebruikersnaam/wachtwoord Self-asserted, alleen Facebook, Google,
check emailadres bol.com
2 “2 factor”, bv wachtwoord + Registratie via bekend DigiD midden
SMS one-time-password gegeven, bv thuisadres
GBA
3 Smartcard (of soft Proces met DigiD midden +
certificates) identiteitsbewijs, en registratie bij balie,
meer checks bv. fysieke medischegegevens.nl,
controle online bankieren
4 Smartcard Idem, met altijd fysieke Qualified certificates,
controle PKIoverheid,
UZI pas


Toepassen betrouwbaarheidsniveaus

betrouwbaarheidsniveaus
Authenticatie-oplossing

1– minimaal
(technisch + proces)

e-diensten
Bv: wachtwoord + online aanvraag

2 – beperkt
STORK Bv: SMS + kopie paspoort risico’s

3 – redelijk
Bv: SMS + aangetekende post

4 – hoog
Bv: PKI (Overheid)


Agenda

Vertrouwen en herbruikbare identiteiten

Mobiel



Mobiel – wat statistieken

Wereldwijd
• 6 miljard mobiele telefoons
• 1 miljard PCs

Nederland
• %smartphones: >60% stijgend naar 67%
• 1.2 miljoen tablets
• Meer internetbankieren vanaf mobiel dan laptop

[Emerce, Mobile update mei 2012]

Waarom mobiel anders?

Wachtwoorden intikken een ramp
Een persoonlijk device (niet tablets …)
Bij apps alleen inloggen bij installatie
SIM kaart is een smartcard
Mobiel vaker kwijt dan een laptop/PC
Minder malware (nog ?)


• Regularly clear your browser's cache
• Wi-Fi – don't conduct Internet banking using
unsecured Wi-Fi networks.


Mobile-centric identity

Mobiel als authenticatiemiddel
• Personal device, altijd bij je
• Geen (weinig) additionele hardware kosten
• Tweede (?) kanaal
• Diversiteit telefoon platformen 

Authenticati voor mobiele diensten
• Usability uitdagingen, bv wachtwoorden
• Geen tweede kanaal meer
• NFC & mobile payments (Sixpack/Travik)


Mobiel als authenticatiemiddel
• Personal device, altijd bij je
• Geen (weinig) additionele hardware kosten
• Tweede (?) kanaal
• Diversiteit telefoon platformen 

Authenticatie voor mobiele diensten
• Usability uitdagingen, bv wachtwoorden
• Geen tweede kanaal meer
• NFC & mobile payments


Probleem
• maak autorisatie beslissingen dynamischer, bv,
het nieuwe werken

Kans
• gebruik context hiervoor, van mobieltje en
andere bronnen

Project
• bruikbaarheid door use cases
• haalbaarheid door demonstrator
• Scope is werknemers.


CEA – the movie
http://youtu.be/lGUprbxJNvE


High level use-cases

Read-only outside the office for transactions

Used device

User proximity

Data loss prevention when travelling


Central: XACML standard

eXtensible Access Control Markup Language

Standard for centralized authorization

Attribute Based Access Control

Trend: more popular and mature


Context – low-hanging fruit

Location, location, location
Stuff derived from location
Used device (BYOD, enterprise mobility etc)
Used network (VPN/local, access point etc)
Time-of-day
Security incidents / events
And of course normal usage patterns


Conclusie context-enhanced
authorization project

Yes it is useful, yes it is feasible

Context is mostly location

But w.r.t. context:
authenticity, quality & privacy

But w.r.t. dyn attributes / XACML:
complexity of policies & scalability


Wrap-up

Hergebruik digitale identiteiten
• Online economie vereist vertrouwen, digitale identiteiten
staan centraal hierin
• Hergebruik kan en moet meer
• Impasse m.b.t. hergebruik C2B identiteiten is er nog
steeds , maar er gebeurt veel!

• Mobiel als authenticatiemiddel en authenticatie op mobiel
• Context-enhanced autorisation: gebruik mobiel als
contextbron voor dynamische autorisatie

www.novay.nl | maarten.wegdam@novay.nl | @maartenwegdam |
33 http://maarten.wegdam.name (blog) | Update - 2 okt 2012
Tuesday http://www.linkedin.com/in/wegdam

Wrap-up




Programma

16:20 Welkom & introductie

16:30 Maarten Wegdam, managing advisor @ Novay

17:15 Erik Hietkamp, directeur ICT @ Aegon

18:00 Buffet

19:15 Wim Hafkamp, CISO @ Rabobank

20:00 Afsluiting en napraten met hapje en drankje


IDentity.Next’ 12
“Making (y)our business with identity”

The Hague, 20-21 November 2011

#idn12

Novay Digital Identity Award 2012

Innovatieve concepten of producten

Uitreiking op

Submissie deadline: 19 oktober 2012

http://www.identitynext.eu/award


backup


Vier levels

level 1: no or minimal confidence in the asserted identity,
No or minimal assurance or no assurance at all.

level 2:
medium confidence in the asserted identity.
Low assurance

Level 3: high impact, high damages in case of an identity
Substantial assurance misuse.

Level 4: addresses those services where damage caused
by an identity misuse might have a heavy
High assurance impact.

[Based on EU STORK D2.3 (B. Hulsebosch a.o., Novay)]

Vier types van mobiele authn

SMS one-time-passwords

Mobile apps, bv OTP generators of tiQR

SIM-based, bv Mobile PKI

SIM augmented token (sticker)


Novay Tuesday Update - Digitale identiteiten: herbruikbaar en mobiel

Recomendados

Recomendados

Más contenido relacionado

Similar a Novay Tuesday Update - Digitale identiteiten: herbruikbaar en mobiel

Similar a Novay Tuesday Update - Digitale identiteiten: herbruikbaar en mobiel (11)

Más de wegdam

Más de wegdam (17)

Novay Tuesday Update - Digitale identiteiten: herbruikbaar en mobiel