Nederlandse overheid werkt aan NL Wallet zonder afhankelijkheid van Apple en Google

De Nederlandse overheid onderzoekt mogelijkheden om de toekomstige digitale overheidsportemonnee NL Wallet ook beschikbaar te maken op smartphones die geen gebruikmaken van de diensten en beveiligingsvoorzieningen van Apple of Google. Daarmee wil de overheid voorkomen dat burgers voor het gebruik van een digitale identiteit en andere digitale overheidsdocumenten volledig afhankelijk worden van de twee grote Amerikaanse technologiebedrijven.

Op dit moment is NL Wallet nog sterk gebonden aan de beveiligingssystemen van Apple en Google. Daardoor kunnen bepaalde groepen smartphonegebruikers de applicatie niet gebruiken. Het gaat onder meer om bezitters van Linux-telefoons en Android-toestellen waarop alternatieve besturingssystemen, ook wel custom ROM's genoemd, zijn geïnstalleerd. Ook apparaten waarop de gebruikelijke Google- of Apple-diensten ontbreken, kunnen tegen beperkingen aanlopen.

De ontwikkelaars van NL Wallet erkennen dat deze afhankelijkheid een belangrijk aandachtspunt is bij de verdere ontwikkeling van de applicatie. Volgens de overheid wordt onderzocht hoe de digitale portemonnee ook op andere mobiele platforms veilig kan functioneren, zonder daarbij uitsluitend te vertrouwen op de beveiligingsmechanismen van Apple en Google.

Beveiliging vormt de belangrijkste technische uitdaging

De huidige beperkingen hebben vooral te maken met de manier waarop NL Wallet controleert of de applicatie daadwerkelijk op een betrouwbaar apparaat wordt gebruikt en of de software niet is gemanipuleerd.

Een digitale wallet voor overheidsdocumenten stelt hoge eisen aan beveiliging. De applicatie moet immers kunnen omgaan met gevoelige persoonsgegevens en digitale bewijzen van identiteit. Daarbij moet worden voorkomen dat onbevoegden toegang krijgen tot de wallet, dat gegevens worden gemanipuleerd of dat kwaadwillenden zich zonder medeweten van de gebruiker als die persoon kunnen voordoen.

Een belangrijk risico is dat een gemanipuleerde of nagemaakte applicatie zich voordoet als de officiële NL Wallet. Zo'n malafide toepassing zou bijvoorbeeld kunnen proberen een digitale wallet namens een gebruiker te activeren, zonder dat de rechtmatige eigenaar daarvan op de hoogte is. Dat kan ernstige gevolgen hebben wanneer de wallet wordt gebruikt voor identificatie of het verstrekken van officiële digitale gegevens.

Om dergelijke risico's te beperken, maakt NL Wallet momenteel gebruik van beveiligingstechnieken die door de mobiele besturingssystemen van Apple en Google worden aangeboden.

Google Play Integrity en Apple App Attest

Op Android maakt NL Wallet gebruik van Google Play Integrity. Dit beveiligingsmechanisme helpt vaststellen of een applicatie afkomstig is uit een betrouwbare bron, niet ongeoorloofd is aangepast en op een apparaat draait dat aan bepaalde beveiligingsvoorwaarden voldoet.

Op iPhones wordt gebruikgemaakt van Apple App Attest. Daarmee kan een applicatie tegenover een server aantonen dat bepaalde verzoeken afkomstig zijn van een legitieme applicatie die binnen het beveiligde ecosysteem van Apple functioneert.

Deze technieken bieden ontwikkelaars aanvullende mogelijkheden om de echtheid en integriteit van hun applicatie te controleren. Ze maken het moeilijker voor kwaadwillenden om een nagemaakte, aangepaste of gemanipuleerde versie van een applicatie te gebruiken voor frauduleuze handelingen.

Het nadeel is echter dat deze beveiligingsmechanismen nauw verbonden zijn met de infrastructuur van respectievelijk Google en Apple. Apparaten die niet over de vereiste diensten of voorzieningen beschikken, kunnen daardoor niet op dezelfde manier worden gecontroleerd.

Dat betekent dat gebruikers van alternatieve Android-versies en bepaalde Linux-gebaseerde smartphones buiten de huidige ondersteuning kunnen vallen, ook wanneer hun apparaten op andere manieren goed beveiligd zijn.

Overheid onderzoekt alternatieven voor de bestaande beveiligingssystemen

Tim Speelman, beleidsmedewerker en productowner van NL Wallet, geeft aan dat de huidige afhankelijkheid van Apple en Google niet noodzakelijkerwijs een blijvende beperking hoeft te zijn.

Volgens hem bestaan er ook andere technische mogelijkheden om vast te stellen of een applicatie betrouwbaar is en of een digitale wallet veilig kan worden geactiveerd. De belangrijkste vraag is echter in hoeverre dergelijke alternatieven dezelfde veiligheidsgaranties kunnen bieden als de bestaande oplossingen van Apple en Google.

De overheid heeft de beschikbare alternatieven tot dusver nog niet uitvoerig onderzocht. Dat betekent dat er op dit moment nog geen definitieve technische oplossing bekend is waarmee NL Wallet op alle alternatieve mobiele besturingssystemen veilig kan functioneren.

De ontwikkelaars moeten onder meer beoordelen hoe zij kunnen vaststellen dat een applicatie authentiek is, dat de software niet is gemanipuleerd en dat de activering van een digitale identiteit daadwerkelijk met toestemming van de gebruiker plaatsvindt.

Daarbij is het belangrijk dat de beveiliging niet uitsluitend afhankelijk wordt van één specifieke fabrikant of een gesloten technologisch ecosysteem.

Eerst ondersteuning voor de grootste mobiele platforms

De keuze om aanvankelijk te ontwikkelen voor Android en iOS is volgens Speelman een bewuste prioritering geweest. Apple en Google vertegenwoordigen samen het grootste gedeelte van de Nederlandse smartphonemarkt. Door eerst ondersteuning voor deze twee ecosystemen te realiseren, kon de ontwikkeling zich richten op de platforms die door de meeste potentiële gebruikers worden gebruikt.

Bij de ontwikkeling van software moeten bovendien voortdurend keuzes worden gemaakt over welke functies en technische verbeteringen als eerste worden gerealiseerd. De ontwikkelaars werken daarom met een zogenoemde backlog: een lijst met werkzaamheden, verbeteringen en toekomstige functionaliteiten die stapsgewijs worden opgepakt.

Dat NL Wallet in eerste instantie alleen voor de twee dominante mobiele ecosystemen wordt ontwikkeld, betekent volgens de productowner niet dat alternatieve platforms definitief worden uitgesloten.

De overheid wil vóór de daadwerkelijke livegang opnieuw bekijken of voldoende veiligheidsgaranties kunnen worden gerealiseerd om de wallet ook buiten de ecosystemen van Apple en Google beschikbaar te stellen.

Het is daarmee nog geen vaststaand gegeven dat Linux-telefoons en Android-toestellen zonder Google-diensten daadwerkelijk vanaf de eerste publieke versie worden ondersteund. De uiteindelijke mogelijkheden zijn afhankelijk van de technische haalbaarheid en de resultaten van het beveiligingsonderzoek.

Ook andere Europese landen lopen tegen dezelfde uitdaging aan

De Nederlandse overheid is niet de enige die met deze kwestie te maken heeft. Ook andere Europese landen ontwikkelen digitale identiteitsoplossingen waarbij veiligheid, privacy, toegankelijkheid en onafhankelijkheid van grote technologiebedrijven belangrijke aandachtspunten zijn.

Volgens Speelman bestaat er onder meer belangstelling vanuit Zwitserland en Duitsland voor de mogelijkheden om digitale wallets op verschillende mobiele platforms veilig te laten functioneren. De betrokken partijen wisselen hierover kennis en ervaringen uit.

Dat is relevant omdat de ontwikkeling van digitale identiteitsoplossingen in Europa steeds meer wordt afgestemd op gezamenlijke uitgangspunten. Daarbij speelt ook de Europese digitale-identiteitsverordening (eIDAS 2.0) een belangrijke rol. Deze regelgeving vormt de basis voor de verdere ontwikkeling van Europese digitale identiteitswallets, waarmee burgers en bedrijven zich digitaal moeten kunnen identificeren en bepaalde gegevens en bewijsstukken veilig moeten kunnen delen.

Een belangrijke doelstelling daarbij is dat digitale identificatie niet onnodig afhankelijk wordt van commerciële tussenpersonen of de infrastructuur van afzonderlijke technologiebedrijven.

Digitale onafhankelijkheid tegenover praktische beveiliging

De discussie rondom NL Wallet raakt aan een bredere kwestie: in hoeverre moet een digitale overheidsvoorziening afhankelijk zijn van de technologie en beveiligingsdiensten van commerciële bedrijven?

Apple en Google bieden uitgebreide beveiligingsvoorzieningen die voor ontwikkelaars aantrekkelijk zijn, omdat zij daarmee relatief eenvoudig bepaalde controles kunnen uitvoeren. Tegelijkertijd ontstaat hierdoor een afhankelijkheid van de voorwaarden, technische mogelijkheden en infrastructuur van deze bedrijven.

Voor een overheidsapplicatie die bedoeld is als betrouwbaar middel voor digitale identificatie, is dat een belangrijk aandachtspunt. Burgers zouden in beginsel niet uitsluitend afhankelijk moeten zijn van de keuze voor een bepaalde smartphonefabrikant of de aanwezigheid van specifieke commerciële diensten om toegang te krijgen tot digitale overheidsvoorzieningen.

Een oplossing die meerdere besturingssystemen ondersteunt, kan bijdragen aan een grotere digitale keuzevrijheid. Dat geldt niet alleen voor gebruikers van Linux-telefoons, maar ook voor mensen die bewust kiezen voor een Android-omgeving zonder Google-diensten, bijvoorbeeld vanwege privacyoverwegingen, veiligheid of digitale autonomie.

Daar staat tegenover dat alternatieve beveiligingsmethoden minstens zo zorgvuldig moeten worden beoordeeld. Het verruimen van de compatibiliteit mag er niet toe leiden dat de bescherming van persoonsgegevens, de betrouwbaarheid van digitale identiteiten of de veiligheid van walletactivering wordt verzwakt.

Nog geen definitieve oplossing of releasedatum voor alternatieve platforms

Voor gebruikers van alternatieve smartphones is er voorlopig nog geen concrete garantie dat zij NL Wallet kunnen installeren en gebruiken. De overheid onderzoekt de mogelijkheden, maar heeft nog niet bekendgemaakt welke alternatieve beveiligingstechnieken eventueel worden ingezet en welke apparaten of besturingssystemen daarmee ondersteund kunnen worden.

Ook is nog niet duidelijk of ondersteuning voor Linux-telefoons en Android-toestellen zonder Google-diensten direct bij de eerste officiële uitrol beschikbaar komt of pas in een latere ontwikkelfase wordt toegevoegd.

De belangrijkste uitdaging is om een beveiligingsmodel te ontwikkelen dat voldoende zekerheid biedt zonder afhankelijk te zijn van de specifieke controlesystemen van Apple en Google.

De ambitie is duidelijk: NL Wallet moet uiteindelijk zo breed mogelijk toegankelijk worden, zonder dat de veiligheid van de digitale identiteit van gebruikers in gevaar komt. Of dat ook betekent dat de wallet volledig onafhankelijk van Apple en Google kan functioneren, moet de verdere technische ontwikkeling nog uitwijzen.

Door: Drifter