De nadruk ligt hierbij op de veiligheid en de toepassingen binnen het onderwijs, en in het bijzonder toepassingen bij de SURFfederatie.

Mobile PKI werkt op basis van versleutelde SMSjes, waarbij de gebruiker toestemming geeft tot authenticatie of digitale handtekening via de mobiele telefoon, beveiligd door een PIN-code die per transactie opnieuw moet worden ingetoetst. De gebruikte standaarden op de mobiele telefoon bestaan al heel lang, en werken op alle telefoons. Bovendien is er geen apart authenticatiedevice nodig, of installatie van software.

Evidos leverde een inhoudelijke bijdrage bij de totstandkoming van het rapport.

Bijgaand een video verslag van de dag

Verschillende andere media deden verslag over de bijeenkomst en OpenID:

TwinkleMagazine “Meer omzet met OpenID”

Frankwatching

Marketingfacts

Computable

DePers.nl

Evidos helpt dienstverleners bij het begrijpen en implementeren van OpenID

De voordelen op een rij:

Betere registratieconversie
Met OpenID kunt u klanten eenvoudig toegang geven. Er
is al een toename in conversie gebleken van 25 procent
bij sites die OpenID gebruiken. Klanten hoeven geen
registratieproces meer te doorlopen, maar kunnen gelijk van
start binnen uw webwinkel.

Eenvoudig en herkenbaar inloggen
De bezoeker van de webwinkel kan met OpenID gebruik
maken van zijn vertrouwde inlogmethode. Dit biedt gemak
en voorkomt dat hij afhaakt in het verkoopproces, omdat hij
de accountgegevens van de webwinkel niet meer weet.

Kosten besparen
U kunt kosten besparen op wachtwoordmanagement. Meer
dan 30 tot 50 procent van de klantenservicevragen hebben
betrekking op gebruikersnamen en wachtwoorden.

Recente en volledige klantgegevens
OpenID maakt het mogelijk om de klantprofielen up-to-date
te houden. Vanuit de website waarmee de eindgebruiker
inlogt, bijvoorbeeld Hyves, ontvangt de webwinkelier, met
toestemming van de klant, recente klantgegevens als naam,
geboortedatum, adres en e-mail. Tevens kan de webwinkelier
de aankoop bekendmaken binnen het Hyves-profiel van deze
klant.

Eenvoudige integratie met partnerdiensten
Met OpenID is het eenvoudiger om aanvullende diensten
van partners te koppelen of integreren. Met behulp van
een OpenID gaat de klant direct van de webwinkel naar
een partnerwebsite zonder opnieuw de registratie of
inlogprocedure te doorlopen.

Miljoenen Nederlanders hebben een digitale identiteit (OpenID). Deze zogeheten OpenID maakt het voor hen mogelijk om zich bij meerdere en verschillende websites aan te melden zonder zich opnieuw te hoeven registreren.

Hoewel de meeste internetgebruikers zich voortdurend met verschillende gebruikersnamen en wachtwoorden bij websites registreren, is dit door het gebruik van een OpenID niet meer noodzakelijk. Wat DigiD is voor Nederlandse overheidsdiensten, is OpenID voor online diensten op de (internationale) consumentenmarkt.

Evidos organiseert 12 mei aanstaande de eerste landelijke bijeenkomst om bedrijven te informeren over het gebruik van OpenID. RouteMobiel, Social-netwerk-site Hyves en Vodafone presenteren hierbij hun kijk op OpenID. Ook wordt er stilgestaan bij de voordelen, betrouwbaarheid en veiligheid rondom een OpenID.  De bijeenkomst heeft plaats in de Lichtfabriek te Haarlem.

Door hun registratie bij Microsoft en Google zijn miljoenen Nederlanders -veelal onbewust- in het bezit van een OpenID. Wereldwijd staat de teller al op één miljard OpenID accounts.

De verwachting is dat het gebruik van OpenID in Nederland snel zal toenemen zeker nu een partij als Hyves heeft aangekondigd hun gebruikers een OpenID te geven.

Voor een brede acceptatie van een OpenID is het belangrijk dat er op de korte termijn een OpenID keurmerk komt. Op deze wijze kunnen consumenten en dienstverleners zorgeloos gebruik maken van een OpenID.

Voor webwinkels en andere online dienstverleners zijn OpenID’s interessant omdat daarmee kosten worden bespaard en de afzet kan worden vergroot.

Informatie over de bijeenkomst en OpenID is te vinden op www.openidentiteit.nl

Inleiding

Het niet beschikbaar zijn van uw online diensten kan leiden tot grote schade.  De nieuwe versies van de webbrowsers blokkeren uw website en tonen beveiligingswaarschuwingen als u de beveiliging (SSL) niet juist instelt op de website. Meer dan de helft  van de website bezoekers haken af bij beveiligingswaarschuwingen, het goed organiseren en beheren van uw SSL certificaten is essentieel.

Wat is SSL?

SSL staat voor Secure Sockets Layer en is de meest gebruikte manier om elektronische transacties via het internet te beveiligen en Internet fraude tegen te gaan.
In de browser verandert uw adres van http://www.mijnwebsite.nl naar https://www.mijnwebsite.nl en in de browser balk is een slotje terug te vinden.
Een beveiligde website kunt u activeren door een digitaal identiteitsbewijs te installeren op de webserver. Dit identiteitsbewijs wordt ook wel certificaat genoemd en is gebaseerd op versleutelingstechnieken (PKI). In het identiteitsbewijs staan de volgende identificerende gegevens:
- Webadres van de server
- Uitgifte datum
- Verloop datum
- Uitgevende instantie

Bij het bezoeken van een website is het belangrijk dat een browser de volgende controles automatisch uitvoert om fraude te voorkomen:
1. Komt het adres dat de eindgebruiker intypt overeen met het adres in het identiteitsbewijs
2. Is het identiteitsbewijs verlopen
3. Is het identiteitsbewijs uitgegeven door een betrouwbare instantie
4. Is het identiteitsbewijs niet aangemerkt als geblokkeerd

Extended Validation SSL

Extended Validation SSL certificaten (EV SSL) zijn de nieuwe internationale standaard op het gebied van SSL beveiliging. EV SSL certificaten worden uitgegeven conform de Extended Validation richtlijn waarin strenge eisen worden gesteld aan de controle van de organisatie die het SSL certificaat aanvraagt en het domein waarvoor het certificaat wordt aangevraagd. De groene adresbalk zorgt er bovendien voor dat bezoekers in één oogopslag zien dat uw website veilig en vertrouwd is.

In het verleden moest de eindgebruiker de aanvullende beveiligingscontroles handmatig aanzetten, in de nieuwste browsers, Internet Explorer 6 en 7, Firefox 3, Opera en Chrome, staan deze strikte controles standaard aan. Deze browsers hebben al een gezamenlijk marktaandeel van 85%.

Doordat deze beveiligingscontroles standaard aanstaan worden direct beveiligingswaarschuwingen getoond en is de website onbereikbaar. Het is eenvoudig om zelf een test uit te voeren en de problematiek te ervaren. Pas de datum/tijd van uw PC aan door het jaar op 2015 te zetten. Bezoek vervolgens de beveiligde website van uw organisatie of ga naar https://www.google.com
Op dit moment zijn er ongeveer 800.000 publiekelijk bekende SSL certificaten in omloop. Verschillende steekproeven wijzen erop dat ongeveer 20% van alle beveiligingscertificaten een probleem geven. 50% van de website bezoekers haakt af bij beveiligingswaarschuwingen. Veelal zijn dit klanten die midden in de afronding van een transactie zitten waardoor veel omzet wordt misgelopen.

Wat moet ik doen als organisatie?

Na het lezen van dit artikel kunt u direct op zoek naar de SSL certificaten van uw organisatie en controleren of er problemen zijn, vaak ontbreekt het echter aan een duidelijk overzicht. Grotere organisaties beheren vaak wel tientallen certificaten.

Bij veel bedrijven is er geen eenduidig certificaatbeleid en vaak is onduidelijk bij wie deze verantwoordelijkheid ligt.
Het gebruik van certificaten gaat verder dan alleen SSL certificaten en zal in de toekomst toenemen door toepassingen als; Webservices security, documenten waarmerken, werkplek toegang en meer websites waar SSL verplicht zal zijn vanuit regelgeving.
Het is belangrijk om de rol voor certificaatbeheer, PKI Officer, goed te beleggen binnen de organisatie.
De taken van een PKI Officer:
1. Centraal verzamel punt voor het beheren van de verschillende identiteitverstrekkers
2. Duidelijke kennis over welk type certificaat in een bepaald project noodzakelijk is:

• SSL, Handtekening, CodeSigning, Windows login
• Interne CA of Externe CA
• Persoonlijk certificaat of services certificaat
• Gewenste vertrouwensniveau (PKIO, QC)

3. Goed bewaken van de certificaatlevensloop

• Verloopdatum van het certificaat
• Sleutel lengte
• Geblokkeerde certificaten
• Back-up procedure in geval van calamiteiten

4. Faciliteren van het aanvraagproces

• Aanvragen dient te gebeuren door een bevoegde aanvrager
• Sleutel ceremonie

5. Aanspreekpunt in het geval van security calamiteiten rondom certificaten

• Voorbeelden van dergelijke incidenten in de afgelopen tijd zijn het “MD5 hash collision” en het “Debian bug ssl” Informatie over deze twee incidenten is te vinden via google en bovenstaande termen.

6. Inkoop, duidelijk overzicht van de verschillende leveranciers, mogelijkheden voor raamcontract om zo kosten te besparen.

In veel organisaties zijn de bovenstaande taken versnipperd belegt. De rol PKIOfficer zou een goede plek hebben binnen de audit/ quality afdeling. Vaak zie je dat er ook een link is naar de centrale IT afdeling, netwerk services, inkoop of personeelszaken. De manier van inrichten verschilt per organisatie.

Om de continuïteit van uw online dienstverlening te garanderen is het van belang om uw (SSL)certificaatbeheer goed te organiseren. Evidos helpt organisaties bij het opzetten van goed certificaatbeheer.

Naar verwachting worden artsen en andere zorgverleners in het voorjaar van 2010 verplicht om zich aan te sluiten op het computersysteem waarmee ze informatie over patiënten en hun medicijngebruik kunnen uitwisselen.

De Kamer stemde donderdag in met de wet die de verplichte aansluiting regelt. Die verplichting geldt alleen voor de huisartsen, apothekers en specialisten, patiënten staat het vrij om bezwaar te maken tegen deelname aan het dossier.

Ook moeten ze een arts toestemming geven om de gegevens in te zien. Een arts mag dit alleen doen als hij de patiënt in behandeling heeft.

Minister Ab Klink (Volksgezondheid) was van plan het EPD al dit najaar in te voeren, maar doet het wat rustiger aan omdat dan nog niet alle zorgverleners de veiligheid van hun systeem goed geregeld hebben.

Voor invoering wil de minister ook nog hackers op het patiëntendossier loslaten.

Het uitstel biedt de minister ook nog gelegenheid tegemoet te komen aan de wens van de Kamer dat bij invoering de patiënt meteen inzage kan krijgen in zijn eigen dossier.

Ook kan hij zien welke artsen er allemaal gebruik van hebben gemaakt.

De digitale patiëntendossiers moeten het aantal fouten dat artsen maken terugdringen. Ook hoeven onderzoeken minder vaak overgedaan te worden.

Notarissen, accountants en advocaten maken al enkele jaren succesvol gebruik van een digitale identiteit. Deze digitale identiteit staat in veel gevallen op een smartcard, vergelijkbaar met de bankpas.

Het gebruik van de mobiele telefoon wordt steeds multifunctioneler. De mobiele telefoon is
niet alleen om mee te bellen, maar ook om foto’s te maken, online radio te luisteren,
muziek af te spelen of toegang te krijgen tot het internet.

De mobiele telefoon kan nu ook een elektronische handtekening zetten die net zo betrouwbaar is als een geschreven handtekening.  De mobiele telefoon kan ook gebruikt worden als middel om in te loggen bij diverse online diensten en zelfs om betalingen en transacties te regelen.

Binnen het project toetsen we de praktijkervaringen van de gebruiker bij het ondertekenen en inloggen met behulp van de mobiele telefoon.

De mobiele telefoon wordt uitgerust met een speciale simkaart met daarop extra functies
voor authenticatie en ondertekening. In het veilige gedeelte van de telefoon wordt een
digitaal certificaat geplaatst.

Wilt u meer weten over het project, mobiele identiteit, neem dan contact op met Evidos

Tijdens de vorige verkiezingen in 2007 mochten inwoners van het land al stemmen via internet. Dit bleek een groot succes te zijn, beveiligingsproblemen deden zich niet voor en ook hackers hadden geen schijn van kans.

Het systeem voor mobiel stemmen is al getest. Om ervoor te zorgen dat er geen fraude wordt gepleegd, wordt er gebruik gemaakt van gratis te verkrijgen chips voor elke telefoon. Hiermee wordt de identiteit van elke gebruiker bevestigd en kan deze met een sms’je zijn of haar stem uitbrengen.

Finland en Zweden hebben al aangegeven ook geïnteresseerd te zijn in de techniek.

Evidos is in Nederland betrokken bij een project voor het inrichten van een digitale identiteit op de mobiele telefoon.

Heemskerk staat in zijn speech ook stil bij het zogenaamd elektronisch factureren. Eerder dit jaar trok de staatssecretaris Marco Pastors aan als ambassadeur e-factureren om het elektronisch versturen aan en verwerken van rekeningen door de overheid een zetje te geven. Volgens Heemskerk ontvangt de overheid jaarlijks tien miljoen facturen. Daarvan wordt nu slechts 0,3 procent geheel elektronisch verwerkt. Heemskerk wil dat in 2010 zeker één op de tien facturen digitaal binnenkomt en digitaal wordt verwerkt. Dat betekent een besparing die kan oplopen van enkele euro’s tot 30 euro per factuur. “En het is ook winst voor het milieu”, aldus Heemskerk. “Als alle bedrijven in Europa voortaan elektronisch factureren, spaart dat zo’n 40 duizend voetbalvelden aan bomen.

Onder meer de Belastingdienst, het ministerie van Defensie, het UWV en een aantal gemeentes doen al mee met e-factureren. Onder leiding van Pastors wordt volgens Heemskerk nu gewerkt aan een set afspraken tussen overheid en bedrijfsleven  om e-factureren een verdere zet in de rug  te geven en waarmee voor bedrijven duidelijk is met welke standaard men bij de overheid terecht kan. Ook moeten de afspraken koud water vrees bij overheidsorganisaties wegnemen. “De voordelen voor het milieu en voor onze portemonnee zijn te groot om te laten liggen, dus ik roep overheidsorganisaties, net zo goed als bedrijven, op om mee te doen met e-Factureren “, aldus Heemskerk.

De afspraken worden binnenkort vastgelegd in een convenant.Meer informatie over het programma Slim Geregeld Goed Verbonden (SGGV) is te vinden op http://www.sggv.nl/.