Interview met geestelijk vader Bart Jacobs en SIDN-directeur Roelof Meijer over authenticatieapp IRMA: ‘We hoeven niet alles te doen zoals Silicon Valley het voorschrijft’

Door Artikel IB6-2021 - Tom Bakker, Sandra Kagie 3 feb 2022

Auteurs: Tom Bakker is redactielid van iB-Magazine. Tom is bereikbaar via tombakker@pvib.nl. Sandra Kagie is freelance tekstschrijver (Sanscript tekstproducties). Sandra is bereikbaar via info@sanscriptproducties.nl.


Je voor het minste of geringste moeten identificeren met je ID-bewijs, een kopie van je paspoort achterlaten om een auto te kunnen huren of een uitgebreid persoonlijk profiel aan moeten maken op een website voordat je kunt inloggen. Bart Jacobs, hoogleraar Security, Privacy en Identity aan de Radboud Universiteit in Nijmegen vindt het van de gekke. Geef nooit meer persoonsgegevens (attributen) prijs dan strikt noodzakelijk, is zijn devies. 

Laat dit dan ook precies het principe zijn achter de door hem ontwikkelde app IRMA, ‘I Reveal My Attributes’. Een app waarmee je in zijn woorden ‘veilig bewijst wie je bent, zonder dat je te veel informatie over jezelf prijsgeeft’. 

‘Ja, ik ben ouder dan achttien dus ik mag alcohol kopen’. Of ‘ja, ik woon in dit postcodegebied dus ik mag meebeslissen en stemmen over de speeltuin in de buurt’. Dat is de informatie die je via IRMA prijsgeeft wanneer je moet aantonen dat je achttien jaar of ouder bent of dat je in een bepaalde wijk woont. Niet je exacte leeftijd, niet je complete adres en zeker niet je volledige voor- en achternaam, je geboortedatum, je nationaliteit én je foto. Gegevens die je bijvoorbeeld als jongere nu wel prijsgeeft wanneer je in de supermarkt je ID-bewijs moet laten zien omdat je een paar flesjes bier wilt kopen. Terwijl de caissière alleen maar hoeft te weten of je ouder bent dan achttien. 

Kader: Hoe werkt IRMA?
Het begint met het downloaden van de app op je smartphone en vervolgens voeg je in de app ‘kaartjes’ toe met daarop gegevens als je naam, je leeftijd en je adres. Kaartjes die komen van officiële instanties als de rijksoverheid of je gemeente. De gegevens zijn cryptografisch beschermd. De gegevens die jij via IRMA deelt, zijn daarmee echt, en echt van jou. 
Met de IRMA-app deel je deze gegevens vervolgens met organisaties die daarom vragen. Hierbij zie je altijd wat een organisatie van je wil weten. En je bepaalt vervolgens zelf of je deze informatie wilt delen. Een proces waarbij niemand meekijkt, want je gegevens of attributen staan alléén op je smartphone en nergens anders. Ze worden dus nergens centraal opgeslagen. 
Dat iemand zich kan identificeren met de telefoon van iemand anders wordt volgens de bedenkers van IRMA allereerst voorkomen door de beveiliging (biometrie of pincode) van de telefoon zelf. Daarnaast is toegang tot de IRMA-app zelf beveiligd met een 6-cijferige pincode. 
Als iemand bewust zijn ontgrendelde telefoon met geopende IRMA-app aan iemand overhandigt, kan die persoon volgens de bedenkers van de app attributen verstrekken als ware hij of zij de eigenaar van de telefoon én de IRMA- gebruiker. “Analoog aan het bewust overhandigen van je ID-kaart aan een ander, zodat hij of zij daarmee bijvoorbeeld toegang krijgt tot een nachtclub of het kopen van alcohol”, geven ze aan.
Meer informatie over de werking van IRMA zowel voor gebruikers als organisaties is te vinden op de website van SIDN (https://www.sidn.nl/online-identity/irma). 



Stevinpremie
IRMA is één van de redenen voor de Nederlandse Organisatie voor Wetenschappelijk Onderzoek (NWO) om de Stevinpremie - samen met de Spinozapremie de hoogste onderscheiding in de Nederlandse wetenschap - dit jaar toe te kennen aan Jacobs. Reden voor een gesprek met de geestelijk vader van de app. We spreken hem en Roelof Meijer, algemeen directeur van SIDN. De organisatie achter het .nl-domein die sinds enkele jaren nauw betrokken is bij de uitrol van IRMA. 
“IRMA komt voort uit wetenschappelijk onderzoek aan de universiteit in mijn groep. Onderzoek dat al in 2008 is gestart”, gaat Jacobs terug naar het prille begin. “In 2016 is IRMA vervolgens in overleg met de universiteit buiten de universiteit ondergebracht. Dit bij de stichting Privacy by Design, waarvan ik sindsdien voorzitter ben. Onbezoldigd, zeg ik daar altijd meteen bij.” 
Om het gebruik van IRMA van de grond te krijgen, zocht Privacy by Design samenwerking met andere partijen. Zo ontstond de samenwerking met SIDN, de beheerder van het .nl-domein. Een samenwerking die in september 2019 officieel werd bekrachtigd. Sindsdien is IRMA ‘powered by SIDN’. Wat betekent dat SIDN, ook een non-profit organisatie, verantwoordelijk is voor de governance, de technische ontwikkeling en het beheer van de backbone van IRMA. 
Samen proberen beide partijen het gebruik van IRMA een impuls te geven. Inmiddels beschikt SIDN dan ook over een eigen team van zo’n tien mensen om IRMA op de kaart te zetten. “Waarom we er ons als SIDN aan hebben verbonden? Omdat IRMA vooralsnog de enige oplossing voor eID in Nederland is die voldoet aan de principes die wij voorwaardelijk vinden: privacy by design, decentraal, open source en de gebruiker heeft de regie over zijn gegevens”, legt Meijer uit. 

‘Nog niet de grote doorbraak’
Anno 2021 hebben bijna vijftigduizend mensen IRMA op hun telefoon staan. Wereldwijd, maar toch vooral in Nederland. “Een aantal dat groeit met ongeveer honderd tot honderdvijftig per dag. Niet triviaal, maar ook nog niet de grote doorbraak. Het komt langzaam van de grond”, concludeert Jacobs. 
“Langzamer dan ik had verwacht? Ach, natuurlijk had ik in toen we IRMA introduceerden en vrijgaven de naïeve hoop dat iedereen het zou omarmen en zou gaan integreren”, gaat de hoogleraar verder. “Maar je hebt keyspelers nodig. Neem Marktplaats, we kennen allemaal de verhalen van fraude en oplichting via dit platform. Wanneer zij IRMA zouden gebruiken om vast te stellen wie een verkoper is door via IRMA te vragen naar je BRP (Basisregistratie Personen)-adres dan zou heel Nederland de app volgende week hebben: we zijn immers een land van sjacheraars en verkopers. Markplaats zou dat gratis kunnen doen. Het is dus een interessante vraag waarom ze dat niet doen.”
“Digitale identiteit komt het beste van de grond in gereguleerde markten”, geeft Jacobs een deel van het antwoord op die vraag. “Plekken dus waaraan vanuit de overheid eisen worden gesteld als het gaat om het vaststellen van de identiteit van iemand met wie je te maken hebt. In de zorg dus, bij de overheid zelf, in de bankensector en in de telecomsector bijvoorbeeld. Staat zoiets niet in de wet dan doen partijen het niet of maar half. Voor Markplaats is het dus een commerciële afweging: is die fraude zo erg dat we het aandurven om onze klanten extra verplichtingen op te leggen of lopen die klanten dan weg naar een ander platform?”
“Het gaat dit soort partijen uiteindelijk om de opbrengst en dan misschien maar niet helemaal kosjer”, vult Meijer aan. Toch had hij een sneller adoptie van IRMA verwacht. “Toen ik het voor het eerst zag en toen ik goed kreeg uitgelegd hoe de app werkt, dacht ik: ‘ik wil dit vanaf morgen gaan gebruiken’. Ik zou er bijvoorbeeld al mijn online aankopen mee willen doen, maar het komt moeizaam van de grond. Heel veel bedrijven vinden het nu eenmaal nog heel prettig om mijn gegevens te verzamelen en dus bieden ze niet de mogelijkheid via IRMA in te loggen op hun website”, stelt hij. 

‘Vaak no-brainers’
“Ik zie zoveel toepassingen voor de app”, gaat hij verder. “En het zijn vaak echt no-brainers. Neem de nieuwe alcoholwet en de online verkoop van drank”, geeft hij als voorbeeld. “Met die nieuwe alcoholwet moet je straks als koper niet alleen online kunnen aantonen dat je achttien jaar of ouder bent – daar zou je IRMA voor kunnen gebruiken. Maar vervolgens als het pakketje bij je thuis wordt afgeleverd, moet je als ontvanger opnieuw kunnen aantonen dat je boven de achttien bent en dat jij degene bent die de bestelling heeft gedaan. Dit moet met een wettelijk ID-bewijs. Dus dan moet je aan de bezorger je paspoort of rijbewijs laten zien, terwijl dat niet nodig is.” 
“Het levert die bezorger vervolgens ook nog een hoop gedoe op, want hij moet bewijzen dat hij dit gecontroleerd heeft en hij moet dit ook op een of andere manier ergens vastleggen. Als ik PostNL was, wist ik het wel. Met IRMA is dit allemaal zoveel makkelijker.”

Hoop gericht op consument
Hoop put Meijer uit onderzoeken waaruit volgens hem blijkt dat het aantal mensen groeit dat aangeeft: ‘ik wil zelf de regie hebben over de gegevens die ik deel en ik wil zo min mogelijk gegevens delen’. Dit bewustzijn dat we toch wat voorzichtiger moeten zijn dan we de afgelopen tijd zijn geweest, ontstaat volgens hem ‘langzaam, maar zéker’. “Als gebruikers het gaan vragen, kan het veilig en makkelijk inloggen een unique selling point worden voor een webwinkel”, concludeert hij.
“We hebben als twee stichtingen geen omvangrijk marketingbudget. We moeten het vooral hebben van mond-tot-mondreclame”, haakt Jacobs in. “IRMA wordt met andere woorden niet als commercieel product in de markt gezet. Daar hebben we het ooit wel eens over gehad, maar het past gewoon niet zo heel erg bij ons als stichtingen.”
“Wat wij met IRMA duidelijk willen maken, is: er is een keuze. We hoeven niet alles te doen zoals Silicon Valley het voorschrijft vanuit hun agressieve verdienmodellen waarin publieke waarden geen rol spelen.”

Kader: Betrouwbaarheidsniveau IRMA?
Op de vraag op welk betrouwbaarheidsniveau van eIDAS IRMA zit, geeft Bart Jacobs aan dat dat niet zo eenvoudig te zeggen is. Het hangt af van de uitgever (issuer) van een kaartje dat je toevoegt in je app op je telefoon. Als bijvoorbeeld een commerciële partij als Albert Heijn een kaartje uitgeeft, zal dat niveau LAAG zijn, maar wanneer de rijksoverheid of een gemeente een kaartje uitgeeft, kan dat niveau HOOG zijn. 
eIDAS staat voor 'Electronic Identities And Trust Services'. Met eIDAS hebben de Europese lidstaten afspraken gemaakt om dezelfde begrippen, betrouwbaarheidsniveaus en onderlinge digitale infrastructuur te gebruiken. Een onderdeel van de verordening is het grensoverschrijdend gebruik van Europees erkende inlogmiddelen. eIDAS kent de niveaus LAAG, SUBSTANTIEEL en HOOG.

Rijksoverheid ‘in verzet’
Gevraagd naar het soort organisaties dat IRMA, een open source oplossing, al heeft omarmd, ziet Jacobs vooral veel interesse en enthousiasme vanuit de zorg en vanuit lokale overheden. Terwijl de rijksoverheid in zijn woorden ‘in verzet is’. Dat het achterliggende gedachtegoed van IRMA in juni door de Europese Commissie is overgenomen voor de ontwikkeling van een nieuwe Europese identity wallet heeft wat dat laatste betreft volgens hem (nog) geen verandering gebracht. En dat verbaast hem hooglijk: “Je zou op zo’n moment verwachten dat de Nederlandse overheid opspringt en zegt wij gaan deze voorsprong qua kennis en ervaring uitnutten.”
“Maar niks daarvan”, stelt hij. “Sterker nog, onlangs werd bekend dat Nederland gaat samenwerken met Duitsland op het vlak van digitale identiteit aan een achterhaalde Duitse blockchainoplossing.” En zo laat Nederland volgens Jacobs een kans liggen om voorop te lopen in de Europese ontwikkeling van meer aandacht voor de publieke zaak in de digitale wereld. Iets waarvoor wat hem betreft in politiek Den Haag sowieso te weinig aandacht is. “Een algemeen punt van zorg”, noemt hij het.
“Te weinig aandacht en te weinig kennis ook”, vult Meijer aan. “Het is bijna een anachronisme dat in tijden van hyperdigitalisering zoals we dat de afgelopen anderhalf jaar hebben gezien, de digitale kennis in onze politieke besturen afneemt. Een heel gevaarlijke combinatie: dat kan niet zolang goed gaan, zou je zeggen.”

Dit interview verscheen in IB6-2021.
Voor het opgemaakte artikel (pdf), klik hier onder op 'Document downloaden'.