Logius, de ICT-leverancier van de Rijksoverheid, waarschuwt dat EH1 van eHerkenning vanaf volgende week niet langer wordt ondersteund. Bedrijven en organisaties kunnen vanaf 1 juli niet langer diensten aanbieden op dit betrouwbaarheidsniveau. Om eHerkenning na deze datum te kunnen blijven gebruiken, moeten instanties hun eHerkenningsmiddel upgraden.
Dat zegt Logius in een persbericht.
Dit moet je weten over eHerkenning
eHerkenning is een digitaal authenticatiemiddel waarmee ondernemers, intermediairs en medewerkers veilig kunnen inloggen bij overheidsorganisaties die bij het initiatief zijn aangesloten. Dat zijn bijna 500 overheidsinstanties die ongeveer 2.000 diensten aanbieden, waaronder het Ondernemersloket en het eLoket bij de Rijksdienst voor Ondernemend Nederland (RVO). eHerkenning is een soort van DigiD, maar dan voor het bedrijfsleven.
Logius, de ontwikkelaar van eHerkenning, hanteert verschillende veiligheidsniveaus voor eHerkenning. Betrouwbaarheidsniveau EH1 is het laagste beveiligingsniveau. Daar hoeven gebruikers alleen een gebruikersnaam en wachtwoord op te geven om in te loggen. De aanvraagprocedure van een eHerkenningsmiddel verloopt via een erkende leverancier.
Het hoogste betrouwbaarheidsniveau is EH4. Inloggen is dan alleen mogelijk met een PKI-certificaat (Public Key Infrastructure). Om hiervoor in aanmerking te komen moet de gebruiker een betrouwbaar brondocument overhandigen en vindt er een fysieke face-to-face controle plaats. Organisaties die zeer gevoelige en vertrouwelijke informatie verwerken, werken met het hoogste beveiligingsniveau. Tussen niveau EH1 en EH4 heb je ook nog EH2, EH2+ en EH3.
Logius: ‘Kies het juiste betrouwbaarheidsniveau’
Vanaf donderdag 1 juli verdwijnt betrouwbaarheidsniveau EH1. Het besluit om hiermee te stoppen werd in december 2020 al genomen. “Het stopzetten van betrouwbaarheidsniveau EH1 is bedoeld om veilig online zaken te kunnen blijven doen en privacygevoelige gegevens uit te wisselen op een betrouwbare manier die past bij de eisen van deze tijd”, zo zegt Logius.
Om gebruik te kunnen blijven maken van eHerkenning, moeten organisaties hun eHerkenningsmiddel upgraden. Afgelopen maart adviseerde Logius om minimaal te upgraden naar niveau EH3. In het meest recente persbericht doet het bedrijf daar geen uitspraak over. In plaats daarvan schrijft ze: “Dit niveau is afhankelijk van het betrouwbaarheidsniveau van de online diensten waarbij u wilt inloggen met eHerkenning.”
De ICT-leverancier verzoekt eHerkenningsmakelaars -instanties die eHerkenningscertificaten mogen uitreiken- om hun klanten op de hoogte te stellen van deze ontwikkeling. Om te bepalen welk betrouwbaarheidsniveau bij een organisatie past, heeft Logius diverse tips online gezet.
Tweestapsverificatie behoort anno 2021 de beveiligingsstandaard te zijn
Dat Logius afscheid neemt van EH1 is niet vreemd. Zoals we al zeiden heb je hiervoor enkel een gebruikersnaam en wachtwoord nodig om in te loggen. Door geavanceerde tools zijn hackers en cybercriminelen steeds beter in staat om deze te bemachtigen of te kraken. Beveiligingsexperts adviseren daarom om multifactorauthenticatie (MFA) of tweestapsverificatie te gebruiken. Naast de traditionele inloggegevens heb je tevens een speciale inlogcode of ander (fysiek) hulpmiddel nodig om te kunnen inloggen.
Wat er gebeurt als je geen MFA gebruikt, daarvan hebben we onlangs meerdere voorbeelden van gezien. Misschien herinner je je de ransomware-aanval op Colonial Pipeline nog wel. Hackers wisten gijzelsoftware op het bedrijfsnetwerk te installeren en zo 100 GB aan bedrijfsgevoelige data te stelen. ‘In het landsbelang’ besloot directeur Joseph Blount om de aanvallers 4,4 miljoen dollar aan losgeld te betalen. Uit onderzoek bleek dat de daders via een VPN account van een oud-medewerker wisten binnen te dringen. Dit account was niet voorzien van tweestapsverificatie.
Ook dichter bij huis gaat het fout. In april legde RTL Nieuws miljoenenfraude met coronasteun bloot. Om een subsidieaanvraag voor Tegemoetkoming Vaste Lasten (TVL) in te dienen, bleek betrouwbaarheidsniveau EH1 voldoende. Doordat er op niveau minimale controle plaatsvindt, bleek het voor oplichters kinderlijk eenvoudig om te frauderen. Tientallen ondernemers waren slachtoffer van deze vorm van identiteitsfraude, die de belastingbetaler naar schatting enkele miljoenen euro’s heeft gekost.
