Fedict biedt authenticatie aan als dienst

Fedict, de Federale overheidsdienst voor informatie- en communicatietechnologie,
had van bij de eerste elektronische belastingsaangiften via Tax-on-web vanzelfsprekend te maken met de wens voor een waterdichte beveiliging. Na een eerste fase met userID/paswoord en ’token’ implementeerde ze de Federal Authentication Service (FAS) met de elektronische identiteitskaart (eID), waarmee eindgebruikers optimaal beschermd worden.

Die module laat federale, regionale en provinciale overheidsdiensten, en ook steden en gemeenten toe om de gebruikers van beveiligde digitale diensten op een uniforme manier te identificeren. ‘Terwijl alle aandacht op de eID gericht is en deze in de toekomst ook het ’token’ zal vervangen, toont dit aan dat deze voorlopige oplossing die door Fedict werd voorgesteld, eveneens aan de strengste veiligheidsvoorwaarden beantwoordt’, zegt Peter Strickx, directeur-generaal
systeemarchitectuur en standaarden van Fedict.

EÉN TOEGANG VOOR ALLES
Tax-on-web wordt al sinds 2003 gehost op het federale portaal en was aanvankelijk ontworpen om de gebruiker met één userID en paswoord toegang te geven. Andere overheidsdiensten werkten met andere paswoorden. Omwille van uniformiteit stelde Fedict een zogenaamde single logon voor aan alle overheidsdiensten die hiervan gebruik wensen te maken.

Het is een klantgerichte stap naar de burger en past perfect in de modernisering van de staat en de vereenvoudiging van de administratie. Dat leidde tot FAS. Fedict staat de federale overheidsdiensten bij om hun communicatie en dienstverlening aan burgers, ondernemingen en ambtenaren te verbeteren met behulp van informatie- en communicatietechnologie. De organisatie ontwikkelt voortdurend nieuwe elektronische diensten die via het federale portaal ter beschikking staan.

Voor authenticatie en eID staat België aan de top. Dat dit mogelijk is, heeft alles te maken met de verplichting om je identiteitskaart altijd op zak te hebben. Dat betekent dat iedereen in principe zijn smartcard altijd bij zich heeft, of zal hebben vanaf 2009. Toegang tot bepaalde toepassingen is dus altijd
mogelijk. Hiermee bewijst iemand dat hij is wie hij zegt te zijn, ondanks scherm en toetsenbord.

OPENBRON
FAS maakt gebruik van de Oasis SAML 1.1 Standard. SAML (Security Assertion Markup Language) is een XML-standaard voor autorisatie en authenticatie van gegevens tussen zogenaamde security domains. AML is een product van het OASIS Security Services Technical Committee, een organisatie die e-business en webservices in goede banen leidt. De ontwikkeling en implementatie van FAS bij Fedict gebeurde in nauwe samenwerking met consultant Accenture. Fedict heeft een ‘referentie-implementatie’ voor de klantzijde van de FAS (een zogenaamde
‘SAML-consumer’) ontwikkeld in openbronsoftware.

Peter Strickx: ‘Dat was noodzakelijk omdat openbare besturen altijd de vrijheid moeten hebben om hun eigen toepassingen te kiezen. Ze hebben eveneens de vrije keuze om onze gratis software te gebruiken of zelf een systeem te implementeren.
Als ze voor dit laatste kiezen heeft dat vooral te maken met specifieke software
die ze gebruiken. Wij vragen hen dan alleen een aantal testen te doen zodat we zeker weten dat hun systeem waterdicht is. In ieder geval zien we nu een grote bereidwilligheid om FAS te gebruiken. Instanties weten nu dat dit geen big brother is, maar daadwerkelijke ondersteuning.’

Burgers die nu met Tax-on-web werken, gebruiken een userID en een token. Ze kunnen daarmee hun belastingsdossier online indienen, raadplegen, de status van een ingediend bezwaar opvragen en zelfs indienen. Om toegang te krijgen tot
de Tax-onlinediensten moest de persoon in kwestie zich vooraf authenticeren via het token, een papieren kaartje dat een lijst van codes van zes karakters bevat die door het centraal Fedictinformaticasysteem automatisch worden gegenereerd en ‘onthouden’.

Dit zijn de paswoorden waarmee iemand veilig toegang krijgt tot de overheidsdienst. Vandaag zijn er meer dan 500.000 tokens in omloop. Was FAS aanvankelijk bedoeld als een beveiliging voor Tax-on-web dan kan deze module vandaag ook door andere federale, regionale en provinciale overheidsdiensten
of steden en gemeenten gebruikt worden. Zo geven zij hun gebruikers veilig toegang tot hun digitale diensten door middel van één enkel identiek persoonlijk paswoord voor toepassingen van de overheid.

‘Bornem was de eerste gemeente die FAS integreerde. Ze hadden er minder dan twee dagen voor nodig, wat betekent dat het geen duur verhaal is. Nu hebben 25 tot 30% van de gemeenten voor FAS gekozen, als ze tenminste een toepassing op hun portaal hebben die vraagt om beveiliging. In werkelijkheid zijn er uiteraard meer gemeenten die een portaalsite hebben. Wil je een beveiligd deel binnen
gaan dan krijg je een pop-up die je direct naar FAS (Fedict) leidt. Ook later wanneer de eID algemener gebruikt wordt, zal de authenticatie nog centraal gebeuren. Een coherent systeem voor de burger is immers belangrijk. De FAS met het ’token’ zal echter blijven bestaan omdat er altijd een back-up oplossing
beschikbaar moet zijn wanneer iemand bijvoorbeeld zijn identiteitskaart verliest.’

In de toekomst zullen ook bedrijven van een gelijkaardige dienst als de FAS gebruik kunnen maken. ‘Daar wordt volop aan gewerkt, de experimenten lopen en hier zal bijvoorbeeld met een systeem van mandaten gewerkt worden. We voorzien ook dat gemeenten, regio’s of bepaalde categorieën mensen -zoals zorgverstrekkers of notarissen- aan een beperkte vorm van authenticatie zullen kunnen doen.’ Transparantie en gelijkvormigheid zijn belangrijke begrippen in deze beveiligingsmaterie.