[Openstandaarden] verslag meeting eID 2005-02-26 Brussel

[Peter Strickx]

Geert en Geert,

Dit zou inhouden dat je iedereen die een toepassing wil ontwikkelen
voor de kaart een volledige copy geeft van het rijksregister (gehashd
maar toch..)op zijn server. Op gebied van onderhoud is dit ook
moeilijk te doen (nieuwe kaarthouders, gestolen kaarten  etc... zouden
mogelijks aanleiding geven tot een "update" van de lijst). Als je de
lijst van hashes  "centraal" wil plaatsen benader je het OCSP (On line
certificate Status Protocol) of de CRL (Certificate Revocation List)
techniek die we vandaag gebruiken (eigen aan elke PKI implementatie).

Het voorstel om een "hash" van het rijksregisternummer te nemen ipv.
het rijksregisternummer zelf is heel interessant. Daarmee kunnen we al
minstens uitsluiten dat geboortedatum en geslacht kunnen worden
afgeleid uit een certificaat. De overheid kan dan een lijst met
rijksregisternummer en hash bijhouden die kan geraadpleegd worden voor
"interne" toepassingen.

Onze uitdaging blijft een betere "technische" bescherming van
identiteitsgegevens door de kaart zelf.

Met vriendelijke groeten,

Peter Strickx

ps: misschien is dit toch teveel eID specifiek aan het worden voor
"openstandaarden" en moet de discussie naar een "eID"-forum(hoewel ik
niet op hoogte ben van zo'n forum) ? Op gebied van standaarden zit het
zeker goed met de kaart ;-)



On Fri, 4 Mar 2005 10:32:33 +0100, Geert Hendrickx
<geert.hendrickx at ua.ac.be> wrote:
> On Fri, Mar 04, 2005 at 10:03:42AM +0100, Geert Uytterhoeven wrote:
> > On Fri, 4 Mar 2005, Peter Strickx wrote:
> > > Je moet er dan wel voor zorgen dat "persoon X Y"  in hetzelfde formaat
> > > van de kaart staat (anders is hash toch anders) EN dat die gegevens
> > > iemand op unieke manier identificeren.
> > > Dan kom je snel uit bij een unieke identifier (bvb. het rijksregisternummer).
> >
> > Maar de computer die de vergelijking moet doen heeft geen lijst met toegelaten
> > rijksregisternummers nodig, enkel een lijst met _hashes_ van toegelaten
> > rijksregisternummers.
> >
> > Je kan dan perfect controleren of de drager van de eID toegelaten is, zonder
> > zijn echte identiteit te kennen. Ook e.g. klantenkaarten van winkels kunnen dit
> > systeem gebruiken, zonder dat de gebruiker zich echt moet identificeren.
> 
> Jep, dat is precies wat ik bedoelde.  Het is net als met paswoorden: de
> server houdt (doorgaans) alleen de hash van je pw bij.  Zonder je paswoord
> te kennen kan hij dan toch verifieren of jij het paswoord kent, en dus
> toegelaten wordt.
> 
> GH
>