`PC ongeschikt voor e-handtekening' =================================== Gebrekkige beveiliging leidt waarschijnlijk tot juridische conflicten Koen Stegeman Computable 40, 3 okt. 2003, p.25. Sinds 21 mei is in Nederland de wet Elektronische Handtekeningen van kracht, waarmee de digitale handtekening dezelfde status heeft gekregen als de 'gewone' handtekening. De vorige maand aan de Katholieke Universiteit van Nijmegen benoemde hoogleraar computerbeveiliging Bart Jacobs voorziet juridische conflicten, waarin moeilijk is vast te stellen of iemand echt getekend heeft. "De wiskundige mechanismen van een pki (public key infrastucture; een versleutelingtechniek waarmee de ontvangende partij kan bepalen of een digitale handtekening gezet is door een bepaalde persoon, red.) zijn in orde. Toch is het voor de ontvangende partij niet duidelijk dat ik als persoon degene ben geweest die de handtekening heeft gezet." Wat is het probleem? "De beveiliging bij degene die de handtekening zet is niet zo sterk. De handtekening wordt gezet met een chipkaart in combinatie met een pincode, maar je toetst die pincode in via het toetsenbord. Het is niet zo moeilijk om een virus te verspreiden dat niks anders doet dan toetsaanslagen loggen, zeker als er een chipkaart wordt gedetecteerd." "Een volgend probleem is het ondertekenen zelf. Je krijgt een document op het scherm, stopt de chipkaart in je pc, toetst de pincode in en drukt op de knop: ik onderteken. Formeel gezien is er geen enkele garantie dat wat ik op het scherm zie, ook daadwerkelijk wordt ondertekend door die chipkaart van mij. Ook hier kan weer een virus actief zijn die iets anders op het scherm laat zien dan wat er naar die chipkaart wordt gestuurd." Is dat niet een beetje ver gezocht? "Ik ben achterdochtig, maar dat is mijn vakgebied. Het is de vraag wat een rechter hiermee gaat doen, want je zult ongetwijfeld gevallen krijgen dat mensen zeggen: ik heb het helemaal niet ondertekend. Misschien dat een computerexpert erbij moet komen die aannemelijk moet maken of er wel of niet een virus op die computer zit, maar dat lijkt me erg moeilijk. Een virus kan zichzelf weer verwijderen nadat het zijn werk heeft gedaan." In dat geval zou ook internetbankieren een groot risico opleveren voor de gebruiker. "Inderdaad. Het bedrag wat op het scherm staat, hoeft niet het bedrag te zijn wat naar de bank verstuurd wordt. De verbinding tussen je pc en de bank is wel beveiligd. Daar gaat encryptie overheen, maar de invoer naar je computer is op geen enkele manier beveiligd. Als ik 1000 intik, kan een virus er 10000 van maken en van een bankrekening die ik intyp kan een virus een andere bankrekening maken. Maar de bank stuurt de ontvangen gegevens altijd nog een keer terug ter bevestiging, waardoor het redelijk veilig." Internetbankieren levert tot nu toe weinig problemen op. Zijn de risico's bij een digitale handtekening zoveel groter? "Als ik over iemands digitale handtekening beschik, kan ik wereldwijd binnen een mum van tijd enorm veel schade aanrichten. Bij internetbankieren kun je zeggen: iedereen doet het, er is weinig strijd, dus het werkt. Misschien geldt dat ook voor de digitale handtekening, maar het is mij nog niet duidelijk of men de conflicten aankan. De situatie met de digitale handtekening is diffuser. Bij het internetbankieren sta je als cliënt tegenover de bank en kan je die bank aanspreken. Bij de digitale handtekening is alles gedecentraliseerd." Kan het veiliger? "Waar ik voor wil pleiten is hetzelfde wat ze met bankpassen hebben gedaan. De dagopname is beperkt en op een chipknip kan je maximaal 500 euro zetten. PinkRoccade heeft tegen mij gezegd dat ze dat wel kunnen inbouwen, maar ik denk dat die maxima opgenomen moeten worden in de certificaten die door een aantal partijen uitgegeven gaan worden. Op die manier kan de ontvanger van een digitale handtekening direct zien als de grens wordt overschreden en er iets niet mis is." Dat geeft nog geen garantie dat bijvoorbeeld paspoorten veilig via internet aangevraagd kunnen worden. "Dat is inderdaad wel een goed punt. In bepaalde sectoren waar de digitale handtekening gebruikt gaat worden, moet je het risico bijna op nul hebben staan. Zoals het nu wordt opgezet, staan de risico's absoluut niet op nul. Je kunt je voorstellen dat criminele organisaties zullen proberen om via internet paspoorten aan te vragen. In de huidige opzet is het wachten op de grote klap en je kunt ervan uitkan dat het een grote klap zal zijn." Hoe zou de digitale handtekening echt veilig opgezet kunnen worden? "De pc is absoluut onbetrouwbaar als platform voor het zetten van een digitale handtekening. Waar ik mij wel in kan vinden, is een gesloten systeem waarbij speciale hardware wordt gebruikt voor het zetten van de handtekening. Een soort tabloid-pc, waar je een chipkaart in kunt steken. Een apparaatje waarmee je wel infrarood vaste open formaten, stel pdf, kunt binnenhalen. Dan zie je dat document, kan je de pincode invoeren en op een knop drukken om de handtekening te zetten. Daarvan kan ik me wel voorstellen dat het redelijk veilig is." In de huidige opzet, zou u de digitale handtekening zelf thuis durven gebruiken? "Ik zou het misschien wel willen, maar dan zou ik heel duidelijk die bovengrens willen. Dat het duidelijk is dat ik niet mijn hele huis kan verkopen met die digitale handtekening. Een oplossing voor digitale handtekening zal in eerste instantie alleen aan bedrijven worden geleverd. Die omgeving zal wat veiliger zijn dan het thuisgebruik, maar het zou veiliger zijn als je dan pc's gebruikt die niet aan het netwerk hangen. En voor echt risicovolle transacties is het beter om speciale apparaten te gebruiken, een tabloid-pc met een smartcard."