De Europese verordening voor digitale identiteit (European Digital Identity, “eIDAS 2.0”) maakt het makkelijk om digitaal iets te kunnen bewijzen, bijvoorbeeld het aantonen dat je een diploma hebt, dat je arts of accountant bent of een bevoegd bestuurder van een bedrijf.
Een andere benaming voor dit digitale bewijs is een elektronische attestatie. Dit bewijs kun je ophalen en opslaan in een digitale portemonnee om vervolgens dit bewijs te kunnen overleggen in digitale contacten. Deze portemonnee wordt ook wel EUDI-wallet genoemd: European Digital Identity-wallet. Deze wallet maakt het ook mogelijk om stukken digitaal te ondertekenen met een gekwalificeerde elektronische handtekening.
Voor de Trusted Information Partners (TIP) is het belangrijk dat de elektronische attestaties ook gebruikt kunnen worden om vanuit een bepaalde rol of met bewijs van bevoegdheid te ondertekenen. Bijvoorbeeld: ik onderteken als notaris, of ik onderteken als gemachtigd bestuurder een contract. Dit gebeurt vandaag de dag met behulp van zogenaamde beroepscertificaten. Juist de combinatie van attestaties en gekwalificeerde elektronische handtekeningen kan de waarde van het veilig online ecosysteem vergroten.
Kennissessie
Eind mei 2024 hebben een aantal TIP-partners – Vidua, SBR Nexus, PKI Signing en Logius – deze mogelijkheid van ondertekenen met een kwalificatie technisch beproefd in een driedaagse ‘pressure cooker’ op basis van een voorbeeldcasus.
De demo en uitkomsten zijn gepresenteerd in een kennissessie op 14 juni. Van deze kennissessie is een video-opname gemaakt die je hier kunt bekijken: opname kennissessie 14 juni 2024.
Aangezien de opname lang is en veel informatie bevat, worden onderstaand enkele punten in tekst toegelicht en samengevat, met verwijzing naar de betreffende onderdelen van de opname zodat je op het juiste moment kunt instappen.
Beschrijving context en voorbeeldcasus
1. Kredietaanvraag (Wim Visser)
Wim Visser, een MKB ondernemer, wil een lening aanvragen bij een bank. De bank eist een samenstelverklaring, ondertekend door een gekwalificeerde professional. Een samenstelverklaring is een verklaring met financiële informatie over een bedrijf, bijvoorbeeld een jaarrekening.
2. Voorwaarden van de bank
De bank wil deze verklaring ontvangen in een automatisch verwerkbaar formaat, gekwalificeerd ondertekend en met bewijs dat de verklaring verstrekt is door een professional. In deze casus is deze professional een persoon die lid is van de NOAB (de Nederlandse Orde van Administratie- en Belastingdeskundigen).
3. Administratiekantoor (Willeke de Bruijn)
Willeke werkt bij een administratiekantoor dat is aangesloten bij de NOAB. Willeke is de gekwalificeerde professional die deze verklaring verstrekt.
4. Gebruik van de EUDI-wallet
Willeke gebruikt haar EUDI-wallet om haar persoonsidentificatiedata (PID) op te halen. Hiermee activeert ze de wallet en wordt deze gekoppeld aan haar digitale identiteit. Vervolgens gebruikt ze haar EUDI-wallet om een lidmaatschapsbewijs van de NOAB en de tekenbevoegdheid van haar kantoor op te halen. Dit bewijs, een elektronische attestatie, voldoet aan de strengste eisen en wordt een QEAA (Qualified Electronic Attestation of Attributes) genoemd. Het kan worden opgeslagen in je EUDI-wallet.
Het lidmaatschapsbewijs wordt verstrekt door een QEAA-uitgever (QEAA-issuer). De uitwisseling tussen de bron (NOAB) en de QEAA-uitgever wordt verzorgd door een bezorgdienst die berichten veilig, compleet en ongewijzigd aflevert op basis van identiteiten die zijn geverifieerd op hoog betrouwbaarheidsniveau. Afhankelijk van de vereisten aan de bronhouder en uitgever kan deze bezorgdienst aanvullend elektronisch aangetekende bezorging bieden (qualified electronic registered delivery service, QERDS).
5. Voorbereiding en ondertekening
Willeke klikt op de link die ze heeft ontvangen in de mail om de samenstelverklaring te ondertekenen met bewijs van haar NOAB lidmaatschap en de tekenbevoegdheid van haar kantoor. Willeke gebruikt haar EUDI-wallet om de ondertekening te bevestigen inclusief het bewijs dat ze een NOAB-professional is.
6. Verificatie en indiening
Nadat Willeke de verklaring heeft ondertekend, kan Wim Visser akkoord geven om het elektronisch getekende document inclusief de gevraagde bewijzen te versturen aan de bank.
Verklarende woordenlijst
In bovenstaande casus komen een aantal onderdelen voor, die hieronder nogmaals worden uitgelegd.
- PID: Persoonsidentificatiedata (PID) zijn nodig om de wallet te activeren en deze te koppelen aan de digitale identiteit van Willeke.
- QES: Een elektronische handtekening die voldoet aan de strengste eisen wordt een Qualified Electronic Signature genoemd.
- QEAA: Een elektronische attestatie die voldoet aan de strengste eisen wordt een Qualified Electronic Attestation of Attributes genoemd . Deze kan worden opgeslagen in je EUDI-wallet. Een voorbeeld is een bewijs van lidmaatschap van de NOAB.
- QEAA-issuer: De organisatie die de QEAA verstrekt aan de EUDI wallet op basis van verificatie bij authentieke bronnen, en voldoet aan de strengste eisen.
Uitleg casus – Instapmoment opname kennissessie
Klik op de volgende link om te beginnen met kijken naar de uitleg van de context en deze casus in deze kennissessie.
Live demo – Instapmoment opname kennissessie
Klik op de volgende link om te kijken naar de live demo tijdens de kennissessie waarin het proces wordt uitgelegd.
Resultaten en inzichten
Algemeen
Het opzetten van de voorbeeldcasus is geslaagd. Alle stappen in deze voorbeeldcasus zijn technisch werkend en vanuit een gebruikersperspectief uit te voeren. Deze opzet biedt voordelen in termen van betrouwbaarheid, schaalbaarheid en gebruiksvriendelijkheid in het beschreven proces.
Het belang van interoperabiliteit en standaardisatie is hierbij nogmaals duidelijk geworden. Door gebruik te maken van gestandaardiseerde processen en protocollen kunnen verschillende systemen en organisaties eenvoudig en naadloos samenwerken. Dit bespaart kosten en voorkomt de afhankelijkheid van één leverancier. Het benadrukt nogmaals de noodzaak van samenwerking tussen verschillende partijen om een robuust digitaal ecosysteem te creëren, wat ook het doel is van Trusted Information Partners.
Technische inzichten
Voor de opzet met de EUDI wallet zijn de technische open source componenten van de Europese wallet gebruikt.
Het ARF (Architectural Reference Framework) voor de European Digital Identity biedt gemeenschappelijke standaarden en technische specificaties voor EU-lidstaten, en vormt een leidraad voor de Europese wallet. Het ARF stelt dat twee formaten voor QEAA’s ondersteund moeten worden: mdoc en SD-JWT.
De huidige referentiecode voor de wallet is gebaseerd op het mdoc formaat en nog niet geschikt voor SD-JWT. Daarom voldoet de wallet nog niet volledig aan de ARF-leidraad, die stelt dat beide formaten ondersteund moeten worden. Dit toont mede aan dat SD-JWT nog in ontwikkeling is.
Mdoc formaat
De mdoc standaard is nog niet geschikt voor het uitgeven van een betrouwbaar extract ten behoeve van een handtekening. De reden dat de standaard nog niet geschikt is, is omdat het extract volgens de standaarden geen kopie mag zijn.
De partners hebben een voorstel gepubliceerd als input voor standaardisatie bij ISO : hoe om te gaan met een verklaring die juist wel “gekopieerd” moet worden. Het nut en de noodzaak worden erkend.
Rulebooks
Bij het uitwisselen van gegevens tussen partijen is het van belang dat iedereen zich aan dezelfde spelregels houdt.
Attestation Rulebooks beschrijven de regels voor verschillende soorten attesteringen. Ze leggen vast welke gegevens nodig zijn, hoe deze moeten worden opgemaakt, en welke bewijzen en beveiligingsmechanismen vereist zijn, inclusief richtlijnen voor uitgifte, validatie en intrekking. Standaardisatie zorgt ervoor dat ze overal hetzelfde zijn (consistentie) en systemen dus goed samenwerken in een netwerk (interoperabiliteit).
In het kader van rulebooks zou het bijvoorbeeld behulpzaam zijn wanneer er een standaard kader kan worden opgesteld voor beroepskwalificaties in het algemeen. In Nederland zijn er allerlei beroepskwalificaties, zoals een heftruck certificaat, bevoegdheid om lang transport te rijden in de logistiek maar ook voor beroepen zoals arts, accountant en notaris.
Kwalificaties kunnen in een informatieketen bijvoorbeeld vaker gecombineerd worden, of software applicaties krijgen te maken met meerdere beroepskwalificaties. Dan is het prettig en behulpzaam als er een algemeen kader bestaat hoe om te gaan met beroepskwalificaties.
In de pressure cooker is een zogenaamde ‘root use case’ ontwikkeld voor een persoon die is aangesloten bij een professionele organisatie, kwalificaties heeft, zoals een erkend beroep, en de professional moet in staat zijn om deze kwalificaties (zoals accountant, advocaat, notaris, arts) te bewijzen.
Een elektronische attestatie moet dan de zekerheid bieden dat de autoriteit die verantwoordelijk is voor het vaststellen van deze kwalificatie, dat een persoon voldoet aan de kwalificaties die wij daar hebben gesteld.
Instapmoment opname rulebook
Voor de demo is ook een voorbeeld van een rulebook gemaakt voor de voorbeeldcasus. Klik hier om te kijken naar het moment in de opname van de kennissessie waarop rulebooks worden uitgelegd.
Status van relevante normen en inzichten
Er zijn verschillende normen in ontwikkeling rondom QEAA.
Klik hier om te kijken naar het moment in de opname van de kennissessie waarop dit onderwerp wordt besproken. Het overzicht van de status van relevante normen die getoond wordt in de kennissessie is onderstaand beschikbaar onder het kopje documenten.
De volgende indrukken hebben we gekregen uit de status van de relevante normen.
Detaillering versus kaders
Een indruk die uit de demo naar voren kwam is dat het ARF soms heel gedetailleerd technische oplossingen beschrijft, en te weinig kaders en principes. Er worden bijv. wel rulebooks beschreven, maar niet hoe die rulebooks gemanaged worden bijvoorbeeld.
Klik hier om te kijken naar het moment in de opname van de kennissessie waarop dit onderwerp wordt besproken.
Kortdurende attestaties
Voor het bewijs van het NOAB lidmaatschap hebben we een zogenaamde ‘short-lived attestation’ gebruikt die een geldigheidsduur van maximaal 24 uur heeft.
Er zijn verschillende vormen van attestaties:
- Kortlevende (short lived) attestaties die maximaal 24 uur geldig zijn (zie ARF/Annex 2 – VCR_12), en
- Attestaties waarbij je op een externe locatie kunt checken of ze nog wel geldig zijn of ingetrokken (revocation list).
Er wordt in de eIDAS regelgeving beschreven hoe attestaties moeten voldoen aan intrekking. In de Annex V van de herziene eIDAS verordening staat bijvoorbeeld dat een QEAA moet bevatten: “de informatie of de locatie van de diensten waarbij informatie kan worden opgevraagd over de geldigheidsstatus van de gekwalificeerde attestering.”
Aan deze controle kleven privacy vraagstukken. Wanneer je de geldigheidsstatus (revocation list) gaat controleren dan ontstaat het vraagstuk hoe je kunt voorkomen dat de ontvangende partij, of degene die de revocation list bijhoudt, weet waar die attestatie is toegepast. De complexiteit die gepaard gaat met het oplossen van dit vraagstuk kan, zo is de indruk, mogelijk leiden tot het remmen van adoptie.
Hoe we moeten omgaan met kortdurende (short-lived) attestaties, wordt nog niet uitvoerig behandeld in het ARF. Dit type attestaties is eenvoudiger te implementeren omdat controle of het bewijs is ingetrokken overbodig is en daardoor een voortdurend werkende ‘revocation status service’ niet nodig is. Dit type attestaties kunnen daardoor een eenvoudigere vorm bieden en daarmee adoptie aanwakkeren.
Op dit moment lijkt veel aandacht uit te gaan naar de attestaties met een externe controle op geldigheidsstatus, terwijl aandacht besteden aan de gebruiksvriendelijkheid van de kortlevende attestaties ook relevant kan zijn vanwege verminderde complexiteit en kansen voor adoptie.
Het gebruik van kortdurende attestaties roept een aantal gebruiksvriendelijkheidsvraagstukken op rondom het vernieuwen van attestaties en frequentie van gebruik. Je wilt niet dat Willeke de hele dag kortdurende attestaties handmatig moet ophalen. Het is mogelijk dit te automatiseren. Het kan waardevol zijn om hier afspraken over te maken en meer aandacht te besteden aan het automatiseren van kortdurende attestaties en het gebruiksgemak te verhogen.
Klik hier om te kijken naar het moment in de opname van de kennissessie waarop dit onderwerp wordt besproken.
Technische specificaties insluiten attestatie bij een handtekening
Het opnemen van een QEAA in een handtekening is nog niet beschreven in de normen. Autorisatie van de rol van de ondertekenaar staat nog niet beschreven in technische specificaties bijvoorbeeld.
Klik hier om te kijken naar het moment in de opname van de kennissessie waarop dit onderwerp wordt besproken.
Beschikbaarheid en redundancy
We zien dat er nog weinig aandacht is voor beschikbaarheid in de huidige beschrijvingen. Hoe zorgen we ervoor dat de benodigde componenten en diensten om een QEAA te maken, delen en te controleren, zoals bron, uitgever, walletfuncties ook beschikbaar zijn?
Wat we maken moet niet alleen veilig en betrouwbaar zijn, maar ook gebruiksvriendelijk en altijd beschikbaar. Het is belangrijk om goed na te denken over de robuustheid van het systeem en ook workarounds bedenken voor het geval diensten uitvallen of niet beschikbaar zijn. Daarom geloven we in meerdere dienstverleners voor uitgifte, zodat als één dienstverlener die QEAA’s uitgeeft faalt, een andere dit kan overnemen. Dit is belangrijk voor adoptie. Risicoanalyses over de beschikbaarheid zijn hierbij nodig. Bijvoorbeeld zoals een credential die een hele dag geldig is, zodat iemand gewoon kan werken zonder constant nieuwe credentials op te hoeven halen. Confidentiality, integrity en availability (CIA) zijn allemaal belangrijk in de beveiligingswereld, maar availiability (beschikbaarheid) wordt vaak vergeten. Klik hier om te kijken naar het moment in de opname van de kennissessie waarop dit onderwerp wordt besproken.
Verificatie bij authentieke bronnen
De European Digital Identity-verordening stelt in Bijlage VI dat gekwalificeerde verleners van elektronische attesteringen attributen (QTSPs) moeten kunnen verifiëren bij authentieke bronnen. In de pressure cooker is aangetoond dat dit kan door middel van een bezorgdienst volgens de TIP-basisfunctie “Exchanging data”. Door het inzetten en doorontwikkelen van de bijbehorende standaarden draagt TIP bij aan interoperabiliteit tussen QTSPs en openbare instanties die verantwoordelijk zijn voor authentieke bronnen. Ook is de implementatielast voor deze openbare instanties op deze manier significant lager dan bij het zelf uitgeven van elektronische attesteringen.
Documenten
Overzicht status normen
Dit is het overzicht van de status van relevante normen die is getoond in de kennissessie van 14 juni 2024.
TIP Algemene basisprincipes en -functionaliteiten: open ter consultatie
Om een robuust digitaal ecosysteem te creëren worden binnen TIP verschillende afspraken uitgewerkt. De werkgroep Techniek van TIP heeft een drietal documenten opgesteld over algemene basisprincipes en -functionaliteiten voor ondertekenen, valideren en bewaren. Deze zijn open ter consultatie en feedback. Feedback kan worden gegeven via LinkedIn of te mailen naar info@trustedinformationpartners.nl. Bij de eerste implementatie volgen de 1.0 versies.
Podcasts
Tijdens de pressure cooker is een aantal podcasts gemaakt.
Aflevering 1 – Pressure Cooker Beroepshandtekening –
In gesprek met Ralph Verhelst van SBR Nexus
In deze aflevering doen Remco van Wijk en Sander Dijkhuis van Vidua live verslag van de pressure cooker die bij Vidua op locatie plaatsvindt. Samen met TIP-partners PKIsigning en SBR Nexus wordt de referentie wallet geladen met een Vidua PID én (Q)EAA met daarin beroepskwalificaties. Zo kan een professional een gekwalificeerde handtekening gaan zetten die direct een hard bewijs van zijn of haar bevoegdheid bevat. Ralph Verhelst van SBR Nexus doet verslag van zijn taak in het geheel: het maken van een rulebook. Wat dat is? Hij legt het allemaal uit.
Aflevering 2 – Update Pressure Cooker Beroepshandtekening –
In gesprek met Dirk Kreijkes PKIsigning
Remco van Wijk spreekt met Dirk Kreijkes over de bijdrage van PKIsigning aan de pressure cooker. Dirk denkt mee met de NOAB over hoe zij de administratie- en belastingconsulenten klaar maken voor de toekomst. Daarom zijn verzoek om met TIP partners te kijken naar een handtekening met een bewijs van de ledenadministratie. PKIsigning levert een signature application waar partijen nu al gekwalificeerd mee ondertekenen. Dirks team heeft de schone taak de QEAA te ontvangen en in te bakken in de handtekening. Met de houding van niet praten maar poetsen, vertelt Dirk in deze podcast hoe en waarom hij de pressure cooker tot nu toe zo gaaf vindt.
Aflevering 3 – Afsluiter Pressure Cooker Beroepshandtekening –
In gesprek met Sander Boer van Logius
‘Dirk is tevreden’ is de afsluitende podcast in themareeks over de pressure cooker. Remco gaat in gespek met Sander Boer van Logius, een TIP-partner en publieke uitvoeringsorganisatie. Samen met een tevreden Dirk blikken ze terug op het project.
Sander deelt zijn inzichten over het belang van de pressure cooker voor de beleidsdoelstellingen onder eIDAS en hoe de behaalde resultaten een waardevolle bijdrage leveren aan de TIP-community. Ontdek hoe TIP de toekomst van beroepshandtekeningen vormgeeft. Mis deze afsluitende aflevering niet en krijg een compleet beeld van de pressure cooker en zijn betekenis voor de toekomst.