Identiteit

Bij privacy is 'identiteit' een veel gebruikt begrip. Maar wat wordt nu precies verstaan onder een identiteit? Om meer duidelijkheid te krijgen over het dit begrip, volgt hier enige uitleg.

Wat is een identiteit?

Een identiteit is datgene wat iemand binnen een bepaalde groep uniek maakt. Zo is binnen een groep mensen waarbij één iemand een snor heeft en de rest niet, het hebben van een snor bruikbaar als identiteit voor die persoon. Want met de term 'snorremans' is het voor iedereen duidelijk wie daarmee bedoeld wordt. Het mag echter duidelijk zijn dat voor officieel gebruik het wel of niet hebben van een snor niet handig werkt. Om niet iedere keer op zoek te moeten gaan naar unieke kenmerken binnen een bepaalde groep mensen, wordt meestal gekozen voor het creëren van een uniek kenmerk door het toekennen van een uniek nummer aan mensen. Zo gebruikt een sportvereniging een lidmaatschapsnummer, een tijdschrift een abonneenummer, een bank een klantnummer en de Nederlandse Overheid het burgerservicenummer (BSN). Dit nummer is dus de daadwerkelijke identiteit. Met het toekennen van al die nummers beschikt iedereen dus, zonder dat de meesten het doorhebben, over meerdere identiteiten!

Burgerservicenummer (BSN)

De overheid roept de laatste tijd op om voorzichtig om te gaan met het BSN. Zij adviseert om bij het maken van een kopie voor niet-overheid instanties het BSN op de kopie door te strepen. Volgens de overheid is identiteitsfraude / -diefstal mogelijk indien een kwaadwillende over je BSN beschikt. Dit is zeer vreemd als je je bedenkt dat het BSN niet meer is dan een gebruikers-ID, een soort gebruikersnaam. Hoeveel vertrouwen zou jij in je bank hebben indien zij aangeven dat een aanvaller over je rekening kan beschikken als hij enkel je klantnummer weet? De kern van het probleem zit dus niet in het bekend worden van je BSN, maar in de procedures omtrent het gebruik van een BSN bij de overheid zelf. Dit wordt bewezen door de vele gevallen van identiteitsfraude die worden gepleegd met behulp van kopieën(!) van identiteitsbewijzen, iets waar de overheid zelf voor waarschuwt [1].

Identiteitsdrager

Alleen het toekennen van een identiteit aan een persoon is niet voldoende om zo'n identiteit bruikbaar te maken. Een persoon moet daarbij in staat zijn om aan te tonen dat een bepaalde identiteit inderdaad aan hem of haar is toegekend. Dat gebeurt meestal door de identiteit op een drager te plaatsen en deze aan die persoon mee te geven. Een sportvereniging doet dit met behulp van een lidmaatschapspas, een bank met behulp van een bankpas en de Nederlandse Overheid met behulp van een paspoort of identiteitskaart.

Een veilige identiteitsdrager is beschermd tegen namaken en biedt de eigenaar tevens de mogelijkheid om aan te tonen dat hij / zij inderdaad de eigenaar is van die drager en de daarop aanwezige identiteit. Dit met als doel om identiteitsdiefstal en -fraude te voorkomen. Een manier om eigendom van een drager aan te kunnen tonen is biometrie. Een drager bevat dan een biometrisch kenmerk van de eigenaar en is in staat om een controle hierop uit te laten voeren. Bij voorkeur is de identiteitsdrager zelf in staat om een controle op het biometrisch kenmerk uit te voeren en is dit kenmerk alleen bekend bij de drager.

Vingerafdruk

Sinds 2009 dient iedereen bij de aanvraag van een paspoort een aantal vingerafdrukken af te gegeven. De opgegeven reden is het tegengaan van criminaliteit en terrorisme. Echter, de feitelijke reden voor het opnemen van een vingerafdruk in het paspoort is het tegengaan van look-alike fraude [2][3][4]. Saillant detail is dat het daarbij slechts gaat om enkele tientallen gevallen per jaar. En dat terwijl Schiphol met ongeveer vijftig miljoenen reizers per jaar te maken heeft. Een vingerafdruk lijkt een goed en veilig middel ter bescherming van het paspoort, maar een groot probleem bij een vingerafdruk is dat, in tegenstelling tot een wachtwoord of pincode, een vingerafdruk niet is te wijzigen als deze eenmaal gecompromitteerd raakt. Een vingerafdruk is daarmee dus als een wachtwoord dat je nooit meer kan wijzigen.

Eigenlijk is het gebruik van een vingerafdruk in welke vorm dan ook geen goed idee. Hoewel bij het afnemen van vingerafdrukken veel fouten gemaakt worden [5], wordt de vingerafdruk op steeds meer plekken gebruikt. Vele mobiele telefoons beschikken over een vingerafdrukscanner voor ontgrendeling. Naast een wachtwoord-dat-niet-gewijzigd-kan-worden is het gebruiken van een vingerafdruk ook hetzelfde als voor elk systeem hetzelfde wachtwoord gebruiken. Want hoewel je 10 vingers hebt, zal in veel gevallen dezelfde vinger gebruikt worden voor de vingerafdruk. Vanuit beveiligingsoogpunt een zeer slecht idee.

Identificeren

Tegenwoordig wordt op veel plekken gevraagd om legitimatie. Bij zaken doen op het gemeentehuis, het afsluiten van een contract voor mobiele telefonie, het huren van een auto, het geven van een bloeddonatie, het uitbrengen van een verkiezingsstem, overal wordt gevraagd om legitimatie. Hoewel daar in de meeste gevallen goede redenen voor zijn, wordt het vaststellen van iemands identiteit maar zelden goed uitgevoerd.

Bij legitimatie wordt gevraagd of je met behulp van een bewijsstuk je identiteit kan aantonen. Hiervoor wordt meestal een paspoort of een rijbewijs gebruikt. Het is echter aan de vragende partij om de juiste controle hierop uit te voeren. Zonder die controle is vragen om legitimatie eigenlijk zinloos. Het is deze controle die op de meeste plekken onvolledig is of zelfs geheel ontbreekt.

De controle bij een juiste legitimatie bestaat uit twee handelingen:

het vaststellen van de echtheid van het legitimatiebewijs;
vaststellen dat het legitimatiebewijs hoort bij degene die het overhandigt.

Omdat maar weinig mensen de echtheidskenmerken van een paspoort of rijbewijs weten en daarop kunnen controleren, gaat het vaak bij dit eerste punt al mis. En controleren dat de persoon die het paspoort overhandigt overeenkomt met de persoon op de foto in het paspoort is een controle die ook te weinig gedaan wordt. Het niet goed uitvoeren van deze controlestappen maakt het vragen naar legitimatie niet alleen zinloos, maar ook gevaarlijk. Dit komt omdat, hoe slecht deze controles ook worden uitgevoerd, toch veel waarde wordt gehecht aan de uitgevoerde legitimatie. Onrechtmatige handelingen die vervolgens worden uitgevoerd uit naam van de geïdentificeerde persoon, komen vervolgens ook voor rekening van die persoon. Of deze persoon nou de daadwerkelijke uitvoerder was of niet.

Terug