Het DigiD-systeem onvoldoende getest

Vorige week lag DigiD, het systeem dat we gebruiken voor het aanmelden op overheidssites en bij zorgvezekeraars, er een dag uit. Aanleiding was de ontdekking van een ernstig beveiligingslek in de DigiD-omgeving. De reactie van de verantwoordelijke overheiddienst Logius was snel en daadkrachtig, maar het had niet zover moeten komen dat DigiD plat ging. Pijnlijk duidelijk werd dat een simpele update van software vitale dienstverlening kan platleggen.

Weken zonder DigiD
In dit geval viel het mee, want na wat testen door Logius konden we een dag later weer inloggen. Maar bij een ingewikkelder lek kun je niet uitsluiten dat DigiD ook zelf aanpassingen nodig heeft en dan ligt de dienst er zo weken uit. Betekent dat vrijstelling van belastingaangiften, geen uitkeringen kunnen uitvragen, extra ambtenaren voor het regelen van een kapvergunning en dus het einde van de elektronische dienstverlening? Blijkbaar is er onvoldoende nagedacht over een plan B. Dat zagen we ook al bij Diginotar, toen overheden geen reservebeveiligingscertificaten voor noodgevallen bleken te hebben.

Kansen niet benutten
Afgelopen week werd ook duidelijk dat niet alleen het testen op uitval kennelijk tekort heeft geschoten, maar ook dat beveiligingsonderzoek de voordelen miskent van de gekozen software onder DigiD. Het platform bestaat uit open broncode die je mag analyseren en wijzigen. Juist bij zoiets belangrijks als het DigiD, een soort paspoort op internet, moet je dat voordeel benutten. Waar je er bij Microsoft, Adobe of andere leveranciers van platformen afhankelijk van bent dat zij wijzigingen doorvoeren en de broncode onderzoeken, kun je hier zelf het heft in handen nemen.

Dat voordeel van dit type programmatuur benutte de AIVD in 2011 bij het controleren van software voor veilig thuiswerken. Er werden problemen gevonden en verholpen. Iedereen profiteerde van de investering en niet in de laatste plaats de ambtenaren die de programmatuur gebruikten.

Investeren
Ook DigiD is als aanmelddienst een beveiligingsproduct en gebruikt als basis de webomgeving Ruby. Daar bleek opeens een lek in te zitten dat toegang gaf tot de database en die fout is het meest voorkomende probleem bij webapplicaties. Als je de broncode hebt kan en mag je niet stoppen bij het kijken naar alleen je eigen software. Hopelijk wordt daar nu budget voor vrijgemaakt.