Wat is authenticatie?
Authenticatie is het proces dat nagaat of een gebruiker daadwerkelijk is wie hij/zij beweert te zijn. Dat wil zeggen: daadwerkelijk de identiteit bezit die hij/zij opgeeft. Deze vastgestelde identiteit bepaalt of de betreffende gebruiker gerechtigd is om een bepaalde handeling te verrichten of een service af te nemen; deze volgende stap noemen we autorisatie.
Twee stappen
Authenticatie bestaat uit twee stappen. Bij de registratiefase wordt eenmalig een account gemaakt op basis van persoonsgegevens en een document met persoonskenmerken.
Hoe grondig hierbij wordt gecontroleerd of de persoonsgegevens daadwerkelijk bij de betreffende persoon horen, bepaalt de betrouwbaarheid. Face-to-face-controle met een paspoort bij een balie, leidt tot een hogere mate van betrouwbaarheid dan een gebruiker die online zijn/haar gegevens invoert.
Heeft de gebruiker eenmaal een aldus gevalideerd account, dan kan hij/zij zich hier voortaan mee authentiseren/inloggen. In deze inlogfase wordt na de initiële validatie alleen nog vastgesteld dat het om dezelfde gebruiker gaat als die ook de account aanmaakte.
Ook hier hangt de betrouwbaarheid af van de mate van controle; enkel het invullen van een wachtwoord wordt minder betrouwbaar geacht dan bijvoorbeeld een gezichtsscan of het invoeren van een extra code (two-factor authenticatie) via het mobiele telefoonnummer van de gebruiker.
Multifactor Authenticatie
Multifactor Authenticatie (MFA) is een authenticatie methode waarbij de onlinegebruiker twee of meer stappen succesvol moet doorlopen om ergens toegang tot te krijgen. De meest bekende soort hiervan is Twee Factor Authenticatie (2FA).
- De eerste factor is het invoeren van een gebruikersnaam en wachtwoord, dit is tegenwoordig de meest voorkomende vorm van authenticatie.
- De tweede factor is dat je naast het ingeven van je inlognaam en wachtwoord een tweede sleutel dient op te geven om in te kunnen loggen. Een aantal voorbeeld mogelijkheden zijn: Het ontvangen van een sms-code, het ontvangen van een aanmeldingsverzoek in een gekoppelde App op je smartphone of het overnemen van een gegeneerde code. Alleen de juiste combinatie van deze factoren zorgt ervoor dat je toegang krijgt.
Strong Customer Authentication (SCA)
Tweestapsverificatie is onder meer nodig om veilig elektronisch te betalen, aan de kassa, in webwinkels en met mobiel bankieren of internetbankieren.
Tweestapsverificatie wordt ook wel tweefactorautorisatie of sterke klantauthenticatie genoemd. In het Engels: strong customer authentication of SCA. Het is een veilige manier om een betaling goed te keuren met twee verschillende dingen waar alleen de rechtmatige pashouder of rekeninghouder over beschikt. Aan de kassa is dat meestal een persoonlijke pinpas in combinatie met een geheime pincode. Met iDEAL en internetbankieren is dat vaak een persoonlijk inlogapparaatje, ook weer in combinatie met een geheime pincode. Bij mobiel bankieren is het een persoonlijke smartphone, bijvoorbeeld in combinatie met gezichtsherkenning.
Betrouwbaarheidsniveaus van inlogmiddelen
Betrouwbaarheidsniveau Laag
Inlogmiddelen voor digitale diensten op eIDAS betrouwbaarheidsniveau Laag, bieden een beperkte mate van zekerheid over iemands opgegeven identiteit.
Authenticatie voor burgers
Authenticatie op eIDAS betrouwbaarheidsniveau Laag kan op dit moment met DigiD gebruikersnaam en wachtwoord of met DigiD 2-factor (zonder eenmalige ID check).
Authenticatie voor bedrijven en organisaties
Als dienstverlener kunt u bedrijven en organisaties toegang verlenen tot uw dienstverlening met eHerkenning. De betrouwbaarheidsniveaus EH2 en EH2+ zijn vergelijkbaar met eIDAS Laag.
Betrouwbaarheidsniveau Substantieel
Inlogmiddelen op eIDAS betrouwbaarheidsniveau Substantieel bieden een substantiële mate van zekerheid over iemands opgegeven identiteit. Betrouwbaarheidsniveau Substantieel is nodig bij digitale diensten met privacygevoelige gegevens. Bijvoorbeeld bij inzage van bijzondere persoonsgegevens of gevoelige bedrijfsgegevens.
Authenticatie voor burgers
Het is op dit moment al mogelijk om toegang te verlenen op eIDAS betrouwbaarheidsniveau Substantieel. Hiervoor kan een burger de DigiD App gebruiken, als hij de eenmalige ID-check heeft uitgevoerd.
Authenticatie voor bedrijven en organisaties
Bedrijven en organisaties die inloggen met eHerkenning op EH3 of hoger, loggen in op eIDAS betrouwbaarheidsniveau Substantieel. Dit is in de verzekeringsbranche het minimaal vereiste niveau.
Betrouwbaarheidsniveau Hoog
Inlogmiddelen die voldoen aan eIDAS betrouwbaarheidsniveau Hoog voorzien in de hoogste mate van zekerheid over iemands identiteit. Voor dit type dienstverlening is het van groot belang dat zeker is met wie u te maken heeft. Dit geldt voor diensten waar gegevens worden verwerkt die onder het medisch beroepsgeheim vallen.
Authenticatie voor burgers
Een inlogmiddel op eIDAS betrouwbaarheidsniveau Hoog voor burgers is sinds 1 januari 2021 beschikbaar.
Authenticatie voor bedrijven
Bedrijven en organisaties die inloggen met EH4, loggen bij dienstverleners in op eIDAS betrouwbaarheidsniveau Hoog.