Door Anoniem: DigiD kan ook op de computer tegenwoordig. Geen smartphone nodig.

Door Anoniem: DigiD kan ook op de computer tegenwoordig. Geen smartphone nodig.

Door Anoniem: Wat heb ik nodig? Windows of macOS. Bron: https://www.digid.nl/inlogmethodes/digid-app

Door Anoniem: Wat heb ik nodig? Windows of macOS. Bron: https://www.digid.nl/inlogmethodes/digid-app

Door Anoniem: Dat wordt niet verplicht, het niet gebruiken wordt je enkel steeds lastiger gemaakt. Dat is echt een wezenlijk verschil hoor.
Dat je binnen een paar jaar niet meer online kunt zonder, ook dan is het nog steeds niet verplicht.


Gebruik zelf geen DigiD (ook niet van plan, reden: precies wat jij schetst, wil niet afhankelijk zijn/worden van een smartphone) weet niet hoe maar leef nog steeds.

Door majortom: Zolang alleen een identiteitsbewijs en rijbewijs worden ondersteund, maar een paspoort niet, lijkt het me sterk dat ze deze manier van inloggen ergens verplicht kunnen gaan stellen.

Door Anoniem: Inderdaad. Ik vind het opvallend hoe alles dat vernieuwd wordt aan DigiD consequent zo lijkt te worden opgezet dat het aan Amerikaanse tech-reuzen gebonden is.

Het is denkbaar dat de genoemde besturingssystemen betere faciliteiten hebben dan Linux om gegevens die geheim moeten worden gehouden ook geheim te houden voor de rest van het systeem. Oké, maar als je FIDO2-hardwaretokens ondersteunt heb je ook iets in hardware dat daar veilig in opgesloten is. Ik vind het geen probleem als ik met een zelf aangeschaft en door de overheid goedgekeurd FIDO2-hardwaretoken dat vingerafdrukken ondersteunt naar loket burgerzaken moet om dat ding aan mijn identiteit te koppelen, of een soortgelijke oplossing. Met goedgekeurde implementaties van een open standaard koppel je de toegang aan een open standaard in plaats van aan big tech, en kan iedere burger de besturingssystemen gebruiken die die zelf kiest.

Door Anoniem: Wanneer sms-controle is uitgefaseerd, wordt de DigiD app de facto toch een verplichting?
Immers, inloggen met identiteitsbewijs vereist de DigiD app...

Door Anoniem: En wat doe je als je je hardwaretoken kwijt bent?

Door Anoniem:
SMS is onveilig.
https://www.security.nl/posting/896338/Wanneer+is+het+gebruik+van+SMS+voor+2FA+geen+%22adequate%22+beveiligingsmaatregel+meer

Weg daarmee voor authenticatie doeleinden.

Door Anoniem: En wat doe je als je je hardwaretoken kwijt bent?

Door Anoniem: Wat doe je wanneer je je ID-kaart of rijbewijs kwijt bent? (In het scenario inloggen met identiteitsbewijs.)

Door Anoniem: Als ik me goed herinner wat daar jaren terug al over speelde hebben we het alleen nog omdat er geen alternatieven zijn die iedereen kan gebruiken. En Logius komt uitsluitend met alternatieven voor degenen die iets van Google, Apple of Microsoft gebruiken. We raken pas van SMS af als Logius met iets komt dat iedereen kan gebruiken, of als een overheid die zelf de afhankelijkheid van big tech zegt te willen verminderen burgers verplicht de afhankelijkheid van big tech te vergroten.

Door Anoniem: In het algemeen is het idee voor de eenvoudigste (maar niet goedkoopste) oplossing bij FIDO2 dat je meer dan één token aan een dienst kan koppelen, en het token dat je niet kwijt bent kan gebruiken om het token dat je wel kwijt bent te ontkoppelen.

Bij zoiets als DigiD kan ik me voorstellen dat je op de DigiD-site zelf nog kan inloggen zonder dat token om aan te geven dat je het token kwijt bent en het ontkoppeld moet worden. Het verlies aangeven bij het loket burgerzaken, waar je het had gekoppeld aan je identiteit, is ook een mogelijkheid, maar dat is natuurlijk niet 24/7 open.

Door Anoniem:
DigiD is inderdaad nog niet verplicht. Maar onbetrouwbare roverheid doet als ze het willen, alles verplicht stellen als er geld of gegevens met verdienmodellen te halen zijn. Kenmerken van een linkse dictatuur. Zie de slimme meter, warmtepomp, OV pas, sofinummer, pogingen uitbannen contant betaalverkeer, digitale €, milieusticker en ga zo maar door.

Door Anoniem:
Nee je koppelt twee discussie aan elkaar.

De ene discussie is het uitfaseren van het onveilige SMS, en de verplichting om naar Apple, Google of Microsoft te gaan is vooral een (principiële) privacydiscussie.

Door Anoniem: Als je zonder token kunt inloggen om het gebruik van een token uit te schakelen, moet je er vanuit gaan dat kwaadwillenden dat ook kunnen. En dan is de veiligheid die een token je goed, direct tot nul gereduceerd.

Kortom, je wil DigiD niet veilig(er) hebben, je wil gewoon geen App gebruiken.

Door Anoniem:

Voor ABN Amro is FIDO2 goed genoeg, daar heb ik al een hardwaretoken van. Voor de meeste dingen die een burger met DigiD doet zou dat ook goed genoeg moeten zijn, lijkt me.

Door Anoniem: waarom maakt een Linuxfanaat dan niet gewoon een "Ford" van DigiD

Door Anoniem: Ford of fork?

Door Anoniem:
Fork

Door Anoniem:
Maar dat is wel altijd in combinatie met jouw persoonlijke omgeving van een webportaal.

Uiteindelijk is een smartphone met biometrie exact hetzelfde als een hardwaretoken met biometrie qua waarde. Dat schreef ik hierboven ook al eens, het gaat blijkbaar niet om een veilige manier van authenticeren, het gaat er -opnieuw- vooral om maar geen gebruik te maken van "BigTech".

En dat vind ik een beetje rare discussie, want waarom maakt een Linuxfanaat dan niet gewoon een "Ford" van DigiD (zo heet dat volgens mij toch?). Sterker nog, blijkbaar gaat men dan zo ver dat men bereid is om consessies te doen op veiligheid (terug naar SMS las ik hier zelfs) om maar geen gebruik te hoeven maken van BigTech.

Door Anoniem:
Maar dat is wel altijd in combinatie met jouw persoonlijke omgeving van een webportaal.

Uiteindelijk is een smartphone met biometrie exact hetzelfde als een hardwaretoken met biometrie qua waarde. Dat schreef ik hierboven ook al eens, het gaat blijkbaar niet om een veilige manier van authenticeren, het gaat er -opnieuw- vooral om maar geen gebruik te maken van "BigTech".

En dat vind ik een beetje rare discussie, want waarom maakt een Linuxfanaat dan niet gewoon een "Ford" van DigiD (zo heet dat volgens mij toch?). Sterker nog, blijkbaar gaat men dan zo ver dat men bereid is om consessies te doen op veiligheid (terug naar SMS las ik hier zelfs) om maar geen gebruik te hoeven maken van BigTech.

Door Anoniem: Is er ooit in Nederland misbruik gemaakt van een SMS code?

Door Anoniem:
Voor zover mijn gelimiteerde kennis reikt nooit.
Maar altijd duikt die aanname wel ergens op. Aanname ja, want nooit gaat de opmerking 'onveilige sms' nou eens gepaard aan een voorbeeld uit de praktijk. Net zomin als (andere discussie) dat een air gapped hardware token zoals de ING scanner onveiliger bleek dan de ING app.

Omdat men al jaren in gebreke blijft om nu eens écht met een gedegen onweerlegbaar voorbeeld van SMS token misbruik uit de praktijk te komen, besteed ik nog maar rudimentair aandacht aan het voor mij persoonlijk zo'n beetje tot broodje aap verworden sprookje over 'onveilige SMS´, en zeker niet als je - net zoals ik - een SMS token ontvangt op een domme GSM telefoon air gapped van de website op een ander device (bij mij een computer) waar dat token voor nodig is.

'onveilge SMS'?
Voor mij is het echt geroep in het luchtledige.... Alu Hat small talk. zo van: Het zou misschien toch wel eens niet onmogelijk kunnen zijn dat de mogelijkheid rudimentair aanwezig is dat een SMS 2FA token wordt onderschept.
Juist ja.... het klinkt voor mij hetzelfde als middenin de Gobi woestijn op 500km. afstand van de bewoonde wereld door een autobus vol toeristen richting de Middenlandse Zee worden aangereden.
Kom nou toch zeg!

'onveilge SMS'?
Dan nodig ik iedereen uit om toch eens eindelijk een gedegen te verifiëren praktijkvoorbeeld, of bij voorkeur meerdere voorbeelden van hacking SMS te posten hier op Security.nl.
Post het desnoods als nieuw topic in de forums. Dat wekt belangstelling.

Dank u!

Door Anoniem:
Voor zover mijn gelimiteerde kennis reikt nooit.
Maar altijd duikt die aanname wel ergens op. Aanname ja, want nooit gaat de opmerking 'onveilige sms' nou eens gepaard aan een voorbeeld uit de praktijk. Net zomin als (andere discussie) dat een air gapped hardware token zoals de ING scanner onveiliger bleek dan de ING app.

Omdat men al jaren in gebreke blijft om nu eens écht met een gedegen onweerlegbaar voorbeeld van SMS token misbruik uit de praktijk te komen, besteed ik nog maar rudimentair aandacht aan het voor mij persoonlijk zo'n beetje tot broodje aap verworden sprookje over 'onveilige SMS´, en zeker niet als je - net zoals ik - een SMS token ontvangt op een domme GSM telefoon air gapped van de website op een ander device (bij mij een computer) waar dat token voor nodig is.

'onveilge SMS'?
Voor mij is het echt geroep in het luchtledige.... Alu Hat small talk. zo van: Het zou misschien toch wel eens niet onmogelijk kunnen zijn dat de mogelijkheid rudimentair aanwezig is dat een SMS 2FA token wordt onderschept.
Juist ja.... het klinkt voor mij hetzelfde als middenin de Gobi woestijn op 500km. afstand van de bewoonde wereld door een autobus vol toeristen richting de Middenlandse Zee worden aangereden.
Kom nou toch zeg!

'onveilge SMS'?
Dan nodig ik iedereen uit om toch eens eindelijk een gedegen te verifiëren praktijkvoorbeeld, of bij voorkeur meerdere voorbeelden van hacking SMS te posten hier op Security.nl.
Post het desnoods als nieuw topic in de forums. Dat wekt belangstelling.

Dank u!

Door Anoniem:
Nee je koppelt twee discussie aan elkaar.

De ene discussie is het uitfaseren van het onveilige SMS, en de verplichting om naar Apple, Google of Microsoft te gaan is vooral een (principiële) privacydiscussie.

Door Anoniem: [...]

Conclusie voor informatiebeveiliging Deze praktijkvoorbeelden tonen aan dat SMS geen betrouwbaar, phishingbestendig authenticatiekanaal is.
[...]

Door Anoniem: @Anoniem van 22-10-2026, 21:51 uur,

Ten eerste verwijs ik naar je post m.b.v. een clickabele URL om mijn reactie niet onnodig lang te maken:
https://www.security.nl/posting/958315#posting958672
Ten tweede: Fijn dat je de moeite nam om uitgebreid te reageren! Waarbij mij gelukkig bleek dat net als in mijn werkzame bestaan het soms nodig was – en nu weer - om de communicatie flink op te kloppen om duidelijke uitspraken in een twistgesprek of overleg te krijgen. Dat werd mij vaak niet in dank afgenomen maar het was dan maar zo.

In al de voorbeelden krijg ik echter de indruk dat de handelingen op een (1) device, de multifunctionele smartphone plaatsvinden. De aanvalsvector is daardoor heel breed.

Ik doe dat niet; kan ook niet; ik heb geen smartphone.

De wijze waarop ik 2FA SMS gebruik is de volgende:

Gegeven:

1.
Een zorgverzekering – doet er in het voorbeeld niet toe welke – heeft een webportaal waarmee je kan inloggen op je persoonlijk pagina.

2.
Dat webportaal roep ik aan op mijn computer. De inlogpagina opent en ik klik op “Inloggen met DigiD en SMS verificatie.

(Ondertussen heb ik mijn ‘domme’ GSM telefoontje ingeschakeld. Het toestelletje is nu klaar voor ontvangst van het 6-cijferige SMS bericht)

3.
Op mijn computer:
Na door DigiD geaccepteerde invoer van mijn gebruikersnaam en wachtwoord, wacht ik op ontvangst van het naar mijn separate - dus air gapped van mijn computer – door DigiD verstuurde 6-cijferige SMS bericht.

4.
De ontvangen 6 cijferige code heb ik ontvangen en deze ga ik nu handmatig intypen – dus géén copy/paste - op de DigiD inlogpagina.

5.
De 2FA autorisatie is succesvol voltooid. DigiD redirect mij nu terug naar mijn persoonlijke zorgverzekering webportaal.

6. Op mijn GSM telefoon wis ik de cijferige SMS (Ik wis alle onnodige berichten) en zet de telefoon uit.

Nu is mijn vraag: Wie kan hier een kwetsbaarheid in ontdekken, waarbij het volgende meegenomen moet worden:

a. Er wordt geen gebruik gemaakt van een smartphone die geopend staat op de DigiD verificatie pagina en waarop – ‘one size fits all’ – de verstuurde SMS wordt ontvangen, maar van twee uiteraard volledig gescheiden (air gapped) digitale apparaten: GSM telefoon enerzijds en computer anderzijds.

b. Gezien het genoemde onder punt a. kan er dus onmogelijk onderlinge doelgerichte data-uitwisseling plaatsvinden anders dan door mij persoonlijk uitgevoerd.

Mijn dank voor een reactie.

Door Anoniem: Naar mijn mening is het altijd beter om [...] te vervangen door iets wat je bent.... ID of biometrie.

Door Anoniem: Wat een gezeur over simswapping. Zelfs als dat het geval is, heeft de aanvaller NIET jouw user-id en wachtwoord, wat heeft hij dan aan die sms? Hij kan er geen moer mee, hij weet niet eens, wanneer je en sms code verwacht. Het is allemaal hel ver gezocht.

Door Anoniem: 1. Ga naar zolder en zoek uw oude Nokia 3310.
2. Stop daar een (contant betaalde) anonieme prepaid simkaart in.
3. Koppel dat 06-nr. aan uw DigiD.
Hoe weet de aanvaller dan ooit welk 06-nr. hij moet swappen?

Door Anoniem:
Dat was het misschien ooit, maar nu door de grote hoeveelheid gelekte datasets en de komst van AI die het werk van duizenden hackers tegelijk op zich kan nemen is phishing lang niet meer het brute force sturen van 1000 sms'jes vanuit de ING bank naar klanten van de Rabobank, de aanvallen worden veel preciezer. Spearphisching is nu de standaard.

Angstvallend blijven vasthouden aan mechanismes waarvan is aangetoond is dat ze niet langer veilig zijn is je kop in het zand steken. Ik snap de afhankelijkheid van "big tech" en dat je dat niet wilt; maar ook daar kun je een soort burner accounts voor aanmaken (je deelt net zo veel gegevens als je zelf prijs geeft). Wat mensen ook proberen te propageren, die mechanismes zijn inherent veiliger dan SMS.

Door Anoniem: 1. Koop een oude iPhone 14 of hoger

Door Anoniem:
Al die hightech, die je aangeeft, kan nog steeds voorspellen, wanneer en waar ik inlog en dat ik een Sms code nodig. Je hele verhaal is grote bangmakerij. Bv. De ING verstuurd geen sms jes, maar je gebruikt de scanner.

Door Anoniem: ID = identiteitsbewijs? Dat is toch niet iets wat je bent, maar ook iets wat je hebt?

Door Anoniem: 2. Koop geen simkaart, hang hem alleen aan WiFi

Door Anoniem: Al die hightech, die je aangeeft, kan nog steeds voorspellen, wanneer en waar ik inlog en dat ik een Sms code nodig. Je hele verhaal is grote bangmakerij. Bv. De ING verstuurd geen sms jes, maar je gebruikt de scanner.

Door Anoniem:
1. Koop een oude iPhone 14 of hoger
2. Koop geen simkaart, hang hem alleen aan WiFi
3. Maak een lege Apple iCloud account aan zonder dat je hier gegevens in vrij geeft
4. Installeer de DigiD app en configureer deze
5. Zet de telefoon uit
6. Zet de telefoon aan als je gaat inloggen met DigiD en gebruik de app
7. Zet na inloggen de telefoon weer uit

Door Anoniem:
Kennelijk ga je er vanuit dat de korte duur dat je GSM aanstaat een graadmeter is voor de beveiliging van SMS.

Je kunt te maken krijgen met SIM-swapping en de kwetsbaarheid in het SS7

Wat is SIM-swapping en hoe werkt het?

SIM-swapping is een vorm van identiteitsfraude waarbij een aanvaller jouw mobiele telefoonnummer laat overzetten naar een simkaart of eSIM die hij zelf beheert. Hiervoor hoeft de aanvaller jouw telefoon niet fysiek in handen te hebben.

1. De aanvaller verzamelt persoonsgegevens
De aanvaller verzamelt bijvoorbeeld je naam, telefoonnummer, geboortedatum of andere gegevens waarmee hij zich tegenover jouw telecomprovider als jou kan voordoen.

2. De aanvaller benadert de telecomprovider
Hij beweert bijvoorbeeld dat zijn telefoon verloren of defect is en vraagt om een vervangende simkaart of eSIM. Soms gebeurt dit door een medewerker te misleiden of door het klantaccount bij de provider over te nemen.

3. Het telefoonnummer wordt overgezet
Als de provider het verzoek ten onrechte goedkeurt, wordt jouw telefoonnummer geactiveerd op de simkaart van de aanvaller.
Jouw oorspronkelijke simkaart verliest doorgaans de verbinding met het mobiele netwerk.

4. De aanvaller ontvangt jouw nieuwe sms-berichten
Vanaf dat moment kunnen nieuwe sms-berichten, waaronder verificatiecodes van DigiD, bij de aanvaller terechtkomen.

Wat betekent dit voor jouw DigiD-scenario?
Je gebruikt een eenvoudige GSM die volledig fysiek gescheiden is van je computer. Dat is een goede beveiligingsmaatregel, maar beschermt niet tegen SIM-swapping.

De reden is eenvoudig: de aanval vindt niet plaats op jouw computer of GSM, maar bij de telecomprovider.

Wat is de SS7-kwetsbaarheid en hoe werkt deze?
SS7 (Signaling System No. 7) is een verzameling signaleringsprotocollen die telecomproviders gebruiken om onder andere telefoongesprekken en sms-berichten tussen mobiele netwerken af te handelen. SS7 is oorspronkelijk ontwikkeld in een tijd waarin telecomnetwerken voornamelijk door een beperkte groep vertrouwde operators werden beheerd. Het protocol is daarom niet ontworpen volgens moderne beveiligingsprincipes waarbij iedere netwerkpartij afzonderlijk en strikt wordt geauthenticeerd en geautoriseerd.

Hierdoor zijn kwetsbaarheden ontstaan die onder bepaalde omstandigheden kunnen worden misbruikt om sms-verkeer te onderscheppen of om te leiden.

1. Hoe werkt een SS7-aanval? Een aanvaller probeert toegang te verkrijgen tot de signaleringsinfrastructuur van een telecomnetwerk, bijvoorbeeld via een gecompromitteerde operator of een partij met toegang tot internationale signaleringsverbindingen. Wanneer de aanvaller voldoende toegang heeft en de betrokken providers onvoldoende bescherming toepassen, kan hij bepaalde signaleringsberichten manipuleren.

Een mogelijke aanval verloopt als volgt:
[*]De aanvaller beschikt over jouw mobiele telefoonnummer.
[*]Hij heeft toegang tot een telecomnetwerk of signaleringsverbinding waarmee misbruik van SS7 mogelijk is.
[*]Hij manipuleert signaleringsinformatie die wordt gebruikt om sms-berichten naar jouw telefoonnummer te routeren
[*]Daardoor kan een sms-bericht onder bepaalde omstandigheden worden omgeleid naar een bestemming die de aanvaller beheert.
[*]De aanvaller kan vervolgens proberen de onderschepte verificatiecode te gebruiken voordat deze verloopt.

2. Wat betekent dit voor jouw DigiD-scenario?
Je gebruikt een eenvoudige GSM die volledig fysiek gescheiden is van je computer. Deze scheiding beschermt tegen aanvallen waarbij malware op de computer rechtstreeks toegang probeert te krijgen tot de sms-berichten op jouw telefoon. Bij een SS7-aanval ligt dat anders. De aanval richt zich namelijk niet op jouw computer of GSM, maar op de infrastructuur waarmee de sms wordt afgeleverd.

De aanvaller hoeft daarom:
[*]Geen toegang tot jouw computer te hebben. [\*]Geen malware op jouw GSM te installeren.
[*]Geen verbinding tussen jouw computer en GSM tot stand te brengen.
[*]Geen fysieke toegang tot jouw simkaart te hebben.
[*]Jouw sms-code niet van het scherm van de GSM af te lezen.

3. Is een SS7-aanval eenvoudig uit te voeren? Nee. Dat is een belangrijke nuance. Een SS7-aanval vereist doorgaans toegang tot gespecialiseerde telecominfrastructuur of tot een partij die dergelijke toegang heeft. Een willekeurige internetgebruiker kan dus niet uitsluitend met jouw telefoonnummer zomaar jouw sms-berichten onderscheppen. Bovendien hebben telecomproviders beveiligingsmaatregelen ingevoerd, waaronder:
[*]SS7-firewalls die verdachte signaleringsberichten analyseren en blokkeren.
[*]Filtering van ongeautoriseerde verzoeken om abonnee- en routeringsinformatie.
[*]Controle op afwijkende signaleringspatronen en ongebruikelijke netwerkactiviteiten.
[*]Beperkingen op de toegang van externe telecomnetwerken tot gevoelige signaleringsfuncties.

Deze maatregelen verkleinen de mogelijkheden voor misbruik aanzienlijk, maar nemen niet noodzakelijk iedere kwetsbaarheid weg.

4. Maakt een moderne 4G- of 5G-verbinding SS7-aanvallen onmogelijk?
Nee, niet per definitie. Moderne mobiele netwerken gebruiken ook andere signaleringsprotocollen, zoals Diameter bij 4G en service-based interfaces bij 5G. Toch kunnen verbindingen met oudere netwerken en interworking tussen verschillende netwerktechnologieën nog steeds relevante aanvalsvectoren opleveren. Of een specifiek sms-bericht via een kwetsbaar traject kan worden onderschept, hangt af van de netwerkarchitectuur en beveiligingsmaatregelen van de betrokken providers.

5. Kan een aanvaller hiermee daadwerkelijk DigiD overnemen?
Niet uitsluitend door een sms-code te onderscheppen. Bij het beschreven DigiD-inlogproces zijn in beginsel twee authenticatiefactoren nodig:

[*]Iets wat je weet: je DigiD-gebruikersnaam en wachtwoord.
[*]Iets wat je bezit: toegang tot de sms-code die naar jouw geregistreerde telefoonnummer wordt verzonden.

Een aanvaller die uitsluitend via SS7 een sms-code onderschept, beschikt daarmee nog niet automatisch over jouw DigiD-wachtwoord. Hij moet dus ook de eerste authenticatiefactor bemachtigen of op een andere manier de authenticatieprocedure compromitteren. Bovendien is de sms-code slechts tijdelijk geldig en bedoeld voor een specifieke authenticatiepoging.

6. Helpt het om de GSM na gebruik uit te schakelen? Het uitschakelen van jouw GSM verkleint de tijd waarin het toestel bereikbaar is, maar voorkomt geen aanvallen op de telecominfrastructuur. Wanneer je het toestel inschakelt om een DigiD-code te ontvangen, moet het immers verbinding maken met het mobiele netwerk. Juist op dat moment kan een aanvaller met voldoende toegang tot de signaleringsinfrastructuur proberen het sms-verkeer te manipuleren. Het verwijderen van de ontvangen sms-code beschermt evenmin tegen onderschepping tijdens het transport.

7. Wat is het verschil tussen SIM-swapping en SS7? SIM-swapping en SS7-misbruik zijn wezenlijk verschillende aanvalstechnieken.

SIM-swapping: De aanvaller probeert jouw telefoonnummer bij de telecomprovider over te nemen en aan zijn eigen simkaart te koppelen.
SS7-aanval: De aanvaller probeert het signaleringsverkeer binnen of tussen telecomnetwerken te manipuleren, zonder noodzakelijk jouw telefoonnummer of simkaart over te nemen.

Bij SIM-swapping verliest jouw oorspronkelijke simkaart doorgaans de netwerkverbinding. Bij SS7-misbruik hoeft dat niet te gebeuren. Je kunt daardoor mogelijk niets merken van een onderscheppingspoging.

Conclusie De fysieke scheiding tussen jouw computer en eenvoudige GSM is een zinvolle beveiligingsmaatregel. Deze voorkomt echter niet dat sms-berichten tijdens het transport door de telecominfrastructuur onder bepaalde omstandigheden kunnen worden onderschept.

De fundamentele kwetsbaarheid van sms-gebaseerde tweefactorauthenticatie is dat het bezit van de verificatiecode wordt gebruikt als bewijs van toegang tot het geregistreerde telefoonnummer, terwijl de aflevering van die code afhankelijk is van de beveiliging van externe telecomnetwerken. Dat betekent overigens niet dat een SS7-aanval op jouw DigiD-authenticatie eenvoudig of waarschijnlijk is. Het betekent uitsluitend dat de airgap tussen jouw computer en GSM geen bescherming biedt tegen deze specifieke aanvalsvector.

Naar mijn mening is het altijd beter om "[*]Iets wat je bezit: toegang tot de sms-code die naar jouw geregistreerde telefoonnummer wordt verzonden. " te vervangen door iets wat je bent.... ID of biometrie. Het allerbeste is een combinatie van de drie factoren iets wat je weet, iets wat je hebt en iets wat je bent.

SMS is gezien zijn kwetsbaarheden niet iets wat je bent en ook niet iets waarbij je er vanuit kunt gaan dat jij de enige bent die het weet.

Door Anoniem: even doorsturen naar de ICT en public relations afdeling van ING. Denk dat als klanten dit moeten gaan doen ze massaal afhaken en een andere bank zoeken of helemaal geen digitaal bankieen meer willen.

Door Anoniem: Je kunt bij je provider een wachtwoord instellen (ODIDO 7 cijferige code) die je steeds moet geven per telefoongesprek als je wijzigingen wil doorvoeren zoals een andere sim, of wat dan ook. Beschermt ook tegen sim jatten

Door Anoniem: Er is geen enkele techniek in staat om te voorspellen, wanneer en op welke website ik inlog om een transactie uit te voeren. Dus hebben aan een omgeleide SMScode.

Door Anoniem:
Tenzij je slachtoffer bent van bankhelpdeskfraude want dan weet de aanvaller precies wanneer jij om die code vraagt.

Door Anoniem: Je kunt bij je provider een wachtwoord instellen (ODIDO 7 cijferige code) die je steeds moet geven per telefoongesprek als je wijzigingen wil doorvoeren zoals een andere sim, of wat dan ook. Beschermt ook tegen sim jatten

Door Anoniem:
Tenzij je slachtoffer bent van bankhelpdeskfraude want dan weet de aanvaller precies wanneer jij om die code vraagt.

Door Anoniem:
Kennelijk ga je er vanuit dat de korte duur dat je GSM aanstaat een graadmeter is voor de beveiliging van SMS.

Je kunt te maken krijgen met SIM-swapping en de kwetsbaarheid in het SS7

Wat is SIM-swapping en hoe werkt het?

SIM-swapping is een vorm van identiteitsfraude waarbij een aanvaller jouw mobiele telefoonnummer laat overzetten naar een simkaart of eSIM die hij zelf beheert. Hiervoor hoeft de aanvaller jouw telefoon niet fysiek in handen te hebben.

1. De aanvaller verzamelt persoonsgegevens
De aanvaller verzamelt bijvoorbeeld je naam, telefoonnummer, geboortedatum of andere gegevens waarmee hij zich tegenover jouw telecomprovider als jou kan voordoen.

2. De aanvaller benadert de telecomprovider
Hij beweert bijvoorbeeld dat zijn telefoon verloren of defect is en vraagt om een vervangende simkaart of eSIM. Soms gebeurt dit door een medewerker te misleiden of door het klantaccount bij de provider over te nemen.

3. Het telefoonnummer wordt overgezet
Als de provider het verzoek ten onrechte goedkeurt, wordt jouw telefoonnummer geactiveerd op de simkaart van de aanvaller.
Jouw oorspronkelijke simkaart verliest doorgaans de verbinding met het mobiele netwerk.

4. De aanvaller ontvangt jouw nieuwe sms-berichten
Vanaf dat moment kunnen nieuwe sms-berichten, waaronder verificatiecodes van DigiD, bij de aanvaller terechtkomen.

Wat betekent dit voor jouw DigiD-scenario?
Je gebruikt een eenvoudige GSM die volledig fysiek gescheiden is van je computer. Dat is een goede beveiligingsmaatregel, maar beschermt niet tegen SIM-swapping.

De reden is eenvoudig: de aanval vindt niet plaats op jouw computer of GSM, maar bij de telecomprovider.

Wat is de SS7-kwetsbaarheid en hoe werkt deze?
SS7 (Signaling System No. 7) is een verzameling signaleringsprotocollen die telecomproviders gebruiken om onder andere telefoongesprekken en sms-berichten tussen mobiele netwerken af te handelen. SS7 is oorspronkelijk ontwikkeld in een tijd waarin telecomnetwerken voornamelijk door een beperkte groep vertrouwde operators werden beheerd. Het protocol is daarom niet ontworpen volgens moderne beveiligingsprincipes waarbij iedere netwerkpartij afzonderlijk en strikt wordt geauthenticeerd en geautoriseerd.

Hierdoor zijn kwetsbaarheden ontstaan die onder bepaalde omstandigheden kunnen worden misbruikt om sms-verkeer te onderscheppen of om te leiden.

1. Hoe werkt een SS7-aanval? Een aanvaller probeert toegang te verkrijgen tot de signaleringsinfrastructuur van een telecomnetwerk, bijvoorbeeld via een gecompromitteerde operator of een partij met toegang tot internationale signaleringsverbindingen. Wanneer de aanvaller voldoende toegang heeft en de betrokken providers onvoldoende bescherming toepassen, kan hij bepaalde signaleringsberichten manipuleren.

Een mogelijke aanval verloopt als volgt:
[*]De aanvaller beschikt over jouw mobiele telefoonnummer.
[*]Hij heeft toegang tot een telecomnetwerk of signaleringsverbinding waarmee misbruik van SS7 mogelijk is.
[*]Hij manipuleert signaleringsinformatie die wordt gebruikt om sms-berichten naar jouw telefoonnummer te routeren
[*]Daardoor kan een sms-bericht onder bepaalde omstandigheden worden omgeleid naar een bestemming die de aanvaller beheert.
[*]De aanvaller kan vervolgens proberen de onderschepte verificatiecode te gebruiken voordat deze verloopt.

2. Wat betekent dit voor jouw DigiD-scenario?
Je gebruikt een eenvoudige GSM die volledig fysiek gescheiden is van je computer. Deze scheiding beschermt tegen aanvallen waarbij malware op de computer rechtstreeks toegang probeert te krijgen tot de sms-berichten op jouw telefoon. Bij een SS7-aanval ligt dat anders. De aanval richt zich namelijk niet op jouw computer of GSM, maar op de infrastructuur waarmee de sms wordt afgeleverd.

De aanvaller hoeft daarom:
[*]Geen toegang tot jouw computer te hebben. [\*]Geen malware op jouw GSM te installeren.
[*]Geen verbinding tussen jouw computer en GSM tot stand te brengen.
[*]Geen fysieke toegang tot jouw simkaart te hebben.
[*]Jouw sms-code niet van het scherm van de GSM af te lezen.

3. Is een SS7-aanval eenvoudig uit te voeren? Nee. Dat is een belangrijke nuance. Een SS7-aanval vereist doorgaans toegang tot gespecialiseerde telecominfrastructuur of tot een partij die dergelijke toegang heeft. Een willekeurige internetgebruiker kan dus niet uitsluitend met jouw telefoonnummer zomaar jouw sms-berichten onderscheppen. Bovendien hebben telecomproviders beveiligingsmaatregelen ingevoerd, waaronder:
[*]SS7-firewalls die verdachte signaleringsberichten analyseren en blokkeren.
[*]Filtering van ongeautoriseerde verzoeken om abonnee- en routeringsinformatie.
[*]Controle op afwijkende signaleringspatronen en ongebruikelijke netwerkactiviteiten.
[*]Beperkingen op de toegang van externe telecomnetwerken tot gevoelige signaleringsfuncties.

Deze maatregelen verkleinen de mogelijkheden voor misbruik aanzienlijk, maar nemen niet noodzakelijk iedere kwetsbaarheid weg.

4. Maakt een moderne 4G- of 5G-verbinding SS7-aanvallen onmogelijk?
Nee, niet per definitie. Moderne mobiele netwerken gebruiken ook andere signaleringsprotocollen, zoals Diameter bij 4G en service-based interfaces bij 5G. Toch kunnen verbindingen met oudere netwerken en interworking tussen verschillende netwerktechnologieën nog steeds relevante aanvalsvectoren opleveren. Of een specifiek sms-bericht via een kwetsbaar traject kan worden onderschept, hangt af van de netwerkarchitectuur en beveiligingsmaatregelen van de betrokken providers.

5. Kan een aanvaller hiermee daadwerkelijk DigiD overnemen?
Niet uitsluitend door een sms-code te onderscheppen. Bij het beschreven DigiD-inlogproces zijn in beginsel twee authenticatiefactoren nodig:

[*]Iets wat je weet: je DigiD-gebruikersnaam en wachtwoord.
[*]Iets wat je bezit: toegang tot de sms-code die naar jouw geregistreerde telefoonnummer wordt verzonden.

Een aanvaller die uitsluitend via SS7 een sms-code onderschept, beschikt daarmee nog niet automatisch over jouw DigiD-wachtwoord. Hij moet dus ook de eerste authenticatiefactor bemachtigen of op een andere manier de authenticatieprocedure compromitteren. Bovendien is de sms-code slechts tijdelijk geldig en bedoeld voor een specifieke authenticatiepoging.

6. Helpt het om de GSM na gebruik uit te schakelen? Het uitschakelen van jouw GSM verkleint de tijd waarin het toestel bereikbaar is, maar voorkomt geen aanvallen op de telecominfrastructuur. Wanneer je het toestel inschakelt om een DigiD-code te ontvangen, moet het immers verbinding maken met het mobiele netwerk. Juist op dat moment kan een aanvaller met voldoende toegang tot de signaleringsinfrastructuur proberen het sms-verkeer te manipuleren. Het verwijderen van de ontvangen sms-code beschermt evenmin tegen onderschepping tijdens het transport.

7. Wat is het verschil tussen SIM-swapping en SS7? SIM-swapping en SS7-misbruik zijn wezenlijk verschillende aanvalstechnieken.

SIM-swapping: De aanvaller probeert jouw telefoonnummer bij de telecomprovider over te nemen en aan zijn eigen simkaart te koppelen.
SS7-aanval: De aanvaller probeert het signaleringsverkeer binnen of tussen telecomnetwerken te manipuleren, zonder noodzakelijk jouw telefoonnummer of simkaart over te nemen.

Bij SIM-swapping verliest jouw oorspronkelijke simkaart doorgaans de netwerkverbinding. Bij SS7-misbruik hoeft dat niet te gebeuren. Je kunt daardoor mogelijk niets merken van een onderscheppingspoging.

Conclusie De fysieke scheiding tussen jouw computer en eenvoudige GSM is een zinvolle beveiligingsmaatregel. Deze voorkomt echter niet dat sms-berichten tijdens het transport door de telecominfrastructuur onder bepaalde omstandigheden kunnen worden onderschept.

De fundamentele kwetsbaarheid van sms-gebaseerde tweefactorauthenticatie is dat het bezit van de verificatiecode wordt gebruikt als bewijs van toegang tot het geregistreerde telefoonnummer, terwijl de aflevering van die code afhankelijk is van de beveiliging van externe telecomnetwerken. Dat betekent overigens niet dat een SS7-aanval op jouw DigiD-authenticatie eenvoudig of waarschijnlijk is. Het betekent uitsluitend dat de airgap tussen jouw computer en GSM geen bescherming biedt tegen deze specifieke aanvalsvector.

Naar mijn mening is het altijd beter om "[*]Iets wat je bezit: toegang tot de sms-code die naar jouw geregistreerde telefoonnummer wordt verzonden. " te vervangen door iets wat je bent.... ID of biometrie. Het allerbeste is een combinatie van de drie factoren iets wat je weet, iets wat je hebt en iets wat je bent.

SMS is gezien zijn kwetsbaarheden niet iets wat je bent en ook niet iets waarbij je er vanuit kunt gaan dat jij de enige bent die het weet.

Door Anoniem: @Anoniem 14.05: Hoe weet je zeker dat je op de site van je verzekeraar je gegevens invult?

Door Anoniem:

Opnieuw dank voor deze uitvoerige reactie!

Mijn voorzichtige conclusie is dus momenteel, oktober 2026, dat volledige air gapped 2FA of MFA een verminderd risico kent dan het gebruik van een app waarbij geen air gapped overdracht van 2FA of MFA plaatsvindt, evident omdat zich daar alles, te weten identificatie en autorisatie, voltrekt op een (1) toestel (device).

Door Anoniem: Maar dit zijn allemaal argumenten die niet gaan over security.

Door Anoniem: (1) Dit is het Privacy forum.
(2) De OP gaat over het niet-gebruiken van de DigiD app die uitsluitend verkrijgbaar is in de Play Store en App Store.
(3) https://reports.exodus-privacy.eu.org/en/reports/362455/

Door Anoniem: (1) Dit is het Privacy forum.
(2) De OP gaat over het niet-gebruiken van de DigiD app die uitsluitend verkrijgbaar is in de Play Store en App Store.
(3) https://reports.exodus-privacy.eu.org/en/reports/362455/

Door Anoniem:
1. Dit is een security forum. Kijk maar naar de URL. En zonder beveiliging geen privacy; andersom kan wel.
2. En die zijn beiden inherent veiliger dan een PC en/of een SMS code. Let op; veiliger zegt niks over privacy.
3. Goed he? Dat het zo inzichtelijk is. Wat is nu het probleem?

Door Anoniem: Nadat sms-controle is uitgefaseerd, blijven DigiD-niveau's Midden, Substantieel en Hoog over.
Welk DigiD-niveau je dan ook kiest, je moet de DigiD app installeren op een iPhone dan wel Android smartphone.
Tenzij je de DigiD app activeert met een brief, leest de smartphone de NFC-chip van je identiteitsbewijs.

De volgende gegevens staan op die chip:
- de foto (in kleur);
- documenttype;
- land van uitgifte;
- voorvoegsel(s);
- naam, voornamen;
- documentnummer;
- nationaliteit houder;
- geboortedatum;
- geslacht;
- datum einde geldigheid;
- 2 vingerafdrukken;
- burgerservicenummer (bsn).

Niemand kan garanderen dat Apple en Google deze gegevens niet achterover drukken!!!

https://www.rijksoverheid.nl/documenten/vraag-en-antwoord/paspoort-en-identiteitskaart/wat-is-een-elektronisch-reisdocument-en-welke-gegevens-bevat-de-chip-hierin

Door Anoniem:
1. Dit is een security forum. Kijk maar naar de URL. En zonder beveiliging geen privacy; andersom kan wel.
2. En die zijn beiden inherent veiliger dan een PC en/of een SMS code. Let op; veiliger zegt niks over privacy.
3. Goed he? Dat het zo inzichtelijk is. Wat is nu het probleem?

Door Anoniem: Deze gegevens worden helemaal niet lokaal op het toestel opgeslagen.

Door Anoniem: (1) Privacy forum - https://www.security.nl/community/3 - op de website https://www.security.nl
(2) Privacy = security; infosec = information security = informatie bescherming. Data die niet bestaat, lekt niet.
(3) Crash reporting is misschien begrijpelijk. Analytics tracking roept vragen op. Het blijft een app van de overheid...

PS Security != safety.

Door Anoniem: (1) Privacy forum - https://www.security.nl/community/3 - op de website https://www.security.nl
(2) Privacy = security; infosec = information security = informatie bescherming. Data die niet bestaat, lekt niet.
(3) Crash reporting is misschien begrijpelijk. Analytics tracking roept vragen op. Het blijft een app van de overheid...

PS Security != safety.

Door Anoniem: Misschien niet, misschien wel. Dat is het punt; we weten het niet. Wat we wel weten, is het volgende.
De NFC-chip in het identiteitsbewijs is passief. De NFC-reader zit in de smartphone, waarop iOS of Android draait.
In theorie kunnen Apple en Google de hele NFC-chip (incl. vingerafdrukken) lezen en alles 'naar huis' sturen.
Zolang u uw identiteitsbewijs nimmer laat nfc-en door een smartphone, weet u zeker dat dat niet gebeurt.

Door Anoniem: Privacy is het recht om met rust gelaten te worden.

Door Anoniem: Deze gegevens worden helemaal niet lokaal op het toestel opgeslagen.

Door Erik van Straten: Zelf gebruik ik overigens geen DigiD app omdat, toen ik daar lang geleden kort naar keek, die app informatie uit het ID-bewijs opsloeg in de smartphone - weg sterke 2FA - en een kopie van mijn ID "in omloop" bij verlies en mogelijk bij EOL (End Of Life). Welke gemakzuchtige dwaas dát bedacht heeft...

Door Anoniem: Kortom, je wil DigiD niet veilig(er) hebben, je wil gewoon geen App gebruiken.

Door Anoniem: https://security.nl/posting/959212/Apple+dicht+lekken+waardoor+aanvaller+iPhones+kan+overnemen

Door Anoniem: https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/stelsel-toegang/betrouwbaarheidsniveaus-digid-en-het-stelsel-toegang/
"Voor diensten die worden geclassificeerd als substantieel of hoog geldt dat er alleen nog op dat niveau ingelogd mag worden. Om te voorkomen dat burgers te vroeg worden uitgesloten van digitale overheidsdienstverlening geldt er een overgangsregeling. Deze was aanvankelijk vastgesteld op 2 jaar, tot juli 2025. Omdat de betrouwbaarheidsniveaus substantieel en hoog toen onvoldoende beschikbaar waren voor brede toepassing, is de regeling met 3 jaar verlengd tot
1 juli 2028."

Conclusie: hoe de kaarten nu geschud liggen, is de mobiele DigiD app de facto verplicht vanaf 2028
en de ID-check (middels NFC) ook...

Ja, de DigiD app voor macOS en Windows computers bestaat ook, maar de ID-check is niet mogelijk met de DigiD app op de computer. Dus op de computer zullen DigiD-niveau's Substantieel en Hoog nooit worden behaald.