Opvolger Coronapaspoort (‘voor veiligheid kinderen’) nu al gekraakt

Waarom is een digitaal paspoort eigenlijk nodig? Vanwege ‘de veiligheid van uw kinderen’. Of is dat een problematisch verhaal? Een beetje wel, natuurlijk. We hebben het hier natuurlijk gewoon over de opvolger van het Coronapaspoort, zo wordt het ook voorgesteld. Laten we bij het begin beginnen.

De voorzitter van de Europese commissie, Ursula von der Leyen, kwam op 15 april met een speech van tien minuten waarin ze de komst van de ‘age verification app’ aankondigde. Dat zou nodig zijn om kinderen te beschermen tegen verslavende algoritmes en kinderlokkers (‘groomers’).

Het middel wordt als een vrijwillige optie voorgesteld voor de overheden in de lidstaten. Ook zou het privacy-vriendelijk zijn. Dat is lastig hard te maken. Dit is een ingewikkeld onderwerp, dus we gaan hier drie artikelen aan wijden: dit is nummertje één. Een digitaal paspoort is niet veilig, de financiering wordt uit een ‘Coronafonds’ gehaald dat chronologisch niets met een pandemie te maken kan hebben en ook de invoering van digitale paspoorten staat compleet los van het onderwerp waar het een reactie op zou zijn. Merk in de speech hierboven op dat Von der Leyen vertelt hoe snel in de pandemie er een digitaal paspoort beschikbaar was; dat komt natuurlijk doordat ze er al aan begonnen was, voordat er maar sprake was van een pandemie. Het verband wordt nog wel een keer herhaald maar nu zou het om ‘de veiligheid van kinderen’ en niet een virus gaan. Dat is dus de drietrapsraket.

In de wereld van de softwareontwikkelaars is GitHub een begrip. Als een partij een open source-app bouwt, dan kun je het ontwerp op dit platform delen. Dat heeft de Europese commissie ook met het digitaal paspoort gedaan, de documenten treft u hier aan. Op zich is dat een handeling die vertrouwen in de privacy ten goede komt, de broncode openbaar maken. Elke expert, een programmeur die kritisch op het principe is bijvoorbeeld, kan zelf in het ontwerp kijken en onderzoeken of er elementen in zitten die schuren met nationale wetten en burgerrechten. Het is alsof het recept voor Coca Cola online wordt gezet. Wie kritisch is op frisdrank, kan het recept downloaden en kijken wat er in zit. Zo werkt het ook met software.

Von der Leyen noemt expliciet dat de voorgestelde Europese app de privacy respecteert. Zo kan een gebruiker de app koppelen aan DigiD in Nederland, itsme in België, noem maar op. In de gemeentelijke basisadministratie (de basisregistratie personen, BRP) is opgenomen hoe oud je bent. Stel dat je een rechtshandeling wil verrichten waarvoor je volwassen moet zijn, denk aan een auto huren in Spanje. De verhuurder daar zou om een kopie van het paspoort kunnen vragen, maar dat zou daar verloren kunnen gaan. De meeste gegevens zijn niet relevant voor het doel, ook je exacte leeftijd niet; als je maar ouder dan achttien jaar bent.

De Europese app kan dan een waarde afgeven die dit bij het aangaan van het huurcontract bevestigt en meer niet. Zo helpt deze app om de privacy te beschermen, je deelt niet meer dan nodig voor het specifieke doel. Aan de andere kant wordt de Europese app ingebakken in de nationale variant van het Europese digitale paspoort, de NL Wallet. Wat die app vervolgens doet met persoonlijke gegevens, verschilt per lidstaat. Daarom kun je nooit met zekerheid zeggen dat de app de privacy respecteert, in de woorden van Von der Leyen. Wat ze zegt is half waar en daarmee eigenlijk onwaar, dat doet ze wel vaker.

In de video legt ze zelf een verband met de QR-code die je tijdens de pandemie moest gebruiken om een schaaltje bitterballen te bestellen. Die werkt volgens hetzelfde principe. In de BRP is uw burgerservicenummer (BSN) opgenomen. Dat is een unieke sleutel, zoals dat heet, er zijn wel twee mensen (of meer) die Henk heten, maar er zijn geen twee mensen met hetzelfde BSN: zo weet je altijd precies met wie je te maken hebt.

Tijdens de pandemie moest je een prik halen bij de GGD, of je liet je daar testen, of je kon aantonen dat je was genezen van Corona. In elk van de drie gevallen zou de GGD een groene vink naar de Corona-app sturen. Vervolgens kon je de groene vink aan de uitsmijter van een horecagelegenheid laten zien. Die liet je dan door, aangenomen dat je inderdaad een groene vink had, en kreeg je je schaaltje bitterballen. De uitsmijter weet dan niet waarom die groene vink er is, bijvoorbeeld of je wel of niet gevaccineerd was; die informatie kon je voor jezelf houden. De koppeling tussen de BRP en de systemen van de GGD was mogelijk dankzij het BSN, de unieke sleutel in deze. Dit principe is straks dus verplicht voor iedereen die social media wil gebruiken.

Het idee van een dergelijk Europees digitaal paspoort is ouder dan de pandemie, er is geen causale relatie. Het is een uitvloeisel van de Europese eIDAS-richtlijn uit 2014, die de ‘unique identifier’ al noemt. Dit gaat dus veel verder dan je enkel digitaal kunnen identificeren, je BSN moet vervolgens ook gekoppeld kunnen worden aan allemaal andere systemen waar je te vinden bent. In de nadagen van de pandemie presenteerde de regering een ‘visie op digitale identiteit’. Die steunt volledig op het lobbydocument Reimagening Digital Identity: ein Strategic Imperative van het World Economic Forum (WEF), lees het stuk zelf maar. Het WEF maakte onderstaande, inmiddels vrij bekende klok.

Door dergelijke datakoppelingen kun je inderdaad gebruik maken van zorg, denk maar aan de groene vink tijdens de pandemie. Je kunt er ook contracten mee afsluiten, zoals in het voorbeeld met een Spaanse huurauto. Er is meer mogelijk, zoals stemmen, het delen van vervoersgegevens in de ‘smart city’, inloggen op social media zoals nu wordt voorgesteld maar ook e-commerce. Het WEF schrijft dat hun leden, aangesloten bedrijven als Mastercard en de grote webwinkels, een hoop geld kunnen verdienen aan een digitale identiteit. Het is namelijk makkelijker om een impulsaankoop te doen, als je op social media zit en daar een advertentie te zien krijgt. De Tweede Kamer is tegen deze opzet, maar de regering drukte toch door, kennelijk daartoe aangespoord door het WEF.

Onder mijn artikelen leest u vaak reacties van grappenmakers die stellen dat ik kritisch ben op alle digitalisering. Gebruik ik dan ook nog kleitabletten, waarom gebruik je internet om stukken te delen als je tegen digitalisering bent, je hebt toch ook een bankrekening met pinpas wat ook een digitaal proces is, noem maar op. Dat is het punt niet. Natuurlijk gebruikt de overheid de kracht van de computer om bij te houden wie er Nederlander zijn, middels een unieke sleutel zijnde het BSN. Daat gaat dit niet over. Het digitale paspoort gaat een stap verder, de persoonlijke gegevens worden vervolgens ook om commerciële redenen gedeeld via de genoemde datakoppelingen. Dat is echt iets anders dan de vraag of je wel of niet digitaal zou willen zijn.

In theorie zou een minderjarige kunnen inloggen op social media met het rijbewijs van een oom, als die wel zin heeft om dit digitale paspoort om ethische redenen in de wielen wil fietsen. Daarom is het noodzakelijk dat die oom geen twee accounts kan hebben en zichzelf ook online identificeert. Ook is het onmogelijk voor bijvoorbeeld Instagram om redelijkerwijs in te schatten of een inlogpoging wordt gedaan door iemand die 14 of 40 is. Als je met een rollator en een grijs koppie naar de club gaat waar je eigen kleinzoon de uitsmijter is, dan zou die voor die ene gelegenheid kunnen afzien van het vragen naar je leeftijd. De kans dat anderen in de rij boos worden en weigeren hun ID te laten zien, zal in dit voorbeeld vrij klein zijn. In alle redelijkheid is dat bij social media onmogelijk. Daarom zal een leeftijdscontrole, enkel gericht op het ‘beschermen van kinderen’, betekenen dat iedereen zich online moet identificeren. Merk op dat in een zo ethisch beladen discussie, de platte, commerciële visie van het WEF meer invloed heeft dan die van het Nederlandse parlement. Dan mag je je afvragen of Nederland nog wel een parlementaire democratie is. De Kamer heeft een in de Grondwet opgenomen wetgevende bevoegdheid, iets wat wordt genegeerd omdat een paar Amerikaanse advertentieverkopers meer geld willen verdienen. Over dit aspect sprak ik eerder bij De Nieuwe Wereld.

Nu zijn er een paar slimme koppen aan de slag gegaan met de age verification app, de broncode is immers openbaar. Het blijkt dat de app, na op een apparaat te zijn geïnstalleerd, vergezeld gaat van een tekstdocumentje op datzelfde apparaat. Daarin staan enkele variabelen opgenomen, denk aan uw leeftijd: je bent immers wel ouder dan achttien (TRUE) of niet (FALSE), ongeacht de exacte leeftijd, misschien een gevoelig onderwerp. De code van de app kan iedereen zo downloaden, zoals gezegd.

Nu raakt aan de grens van wat een boekhouder cq journalist weet van programmeren, of we gaan ver over die grens. Gelukkig zitten er enkele experts in de entourage, ook te vinden op social media (nog wel). Binnen 24 uur (!) na het lanceren van de app ‘om de kinderen te beschermen’ slagen ze er al in om die te kraken, omdat het genoemde bijbehorende tekstdocument met persoonlijke gegevens heel simpel te wijzigen is. Een programmeur was zo vriendelijk om in twee minuten uit te leggen hoe je dat doet. Die video staat hier, embedden kan niet, dus kijkt u eerst de video om dan hier terug te keren.

Onder de video van Paul Moore ontstaat een levendige discussie. Moet je dit wel openbaar delen, je zou het ook geheim kunnen houden zodat mensen de app straks kunnen omzeilen? En help je zo hackers met slechte bedoelingen niet? Moore wijst erop dat door dit soort domme ontwerpfouten er een enorm veiligheidsrisico ontstaat rondom de persoonlijke gegevens van tientallen miljoenen Europeanen. Je wil niet dat mensen door dwang de app moeten gebruiken, om dan te ondervinden dat al hun persoonlijke gegevens zijn gejat. Merk op dat de app is gefinancierd uit het ‘Coronafonds’, tientallen miljarden mag het kosten, en dan nog gaat het fout.

Persoonlijk valt het me op dat veel lezers, ook vrienden, kritiek hebben op mijn terughoudende opstelling in deze. Het is toch beter dat de overheid deze app bouwt, specifiek de Europese commissie, dan dat iemand anders dat doet? In wie heb je nu meer vertrouwen dan in de overheid? Om twee redenen een problematische redenering.

Ten eerste bestaat er rondom persoonlijke data geen simpele methode om alles veilig te krijgen. Bij het debat over het negeren van de Kamermotie om niet met een digitaal paspoort in te stemmen, noemde de regering dat er gestreefd wordt naar een digitaal paspoort met de hoogste mate van veiligheid; alsof je dat juridisch kunt regelen.

Persoonlijke gegevens van burgers in een app zijn te vergelijken met kippen in een kippenstal. Elke boer zal proberen de vos buiten de deur te houden, te vergelijken met een hacker. Hoe groter en complexer het systeem wordt, door alle data van alle Europeanen te gebruiken en die ook nog eens aan allemaal externe gegevensbanken te koppelen, hoe groter de kans op een geslaagde inbraakpoging wordt. Een boer die zijn kippenstal uitbreidt, zal automatisch merken dat steeds meer vossen proberen in te breken, het is alsof die beesten kennis delen op een forum voor kippendieven over de groter geworden buit op een specifieke locatie. Zo werkt het ook met dieven van data: de overheid die uit ambitie een systeem groter en complexer maakt, zorgt alleen maar voor meer risico’s, overheid of niet. En bovendien is de combinatie van overheid en ICT geen automatische garantie op succes, laten we eerlijk zijn.

Ik had hier een gesprek over met de woordvoerder digitalisering bij de VVD, Hawre Rahimi. Hij is vluchteling uit Iran en IT’er, met een academische opleiding Informatica op zijn CV. Hij is kritisch op deze gang van zaken, vanwege het ‘kippenargument’ maar ook omdat je je moet afvragen of een overheid zich niet zou moeten matigen, als het om het wroeten in persoonlijke gegevens gaat. Zijn afkomst verraadt zijn argwaan, dat zal duidelijk zijn. Prompt besloot de VVD zijn zetel onder hem vandaan te trekken, zodat er enkel nog juristen en psychologen zonder inhoudelijke kennis in de commissie zitten. Niet gehinderd door enige kennis knikken ze volmondig ‘ja’, anders is hun baantje aan de beurt. Een oprecht politicus die door een academische opleiding kennis van zaken heeft, dat moet je niet willen in de politiek.

Zo kon het gebeuren dat een wankel digitaal paspoort verplicht wordt. De Europese commissie stelt wel dat het vrijwillig is, maar dat zagen we bij de pandemie ook. Je hoefde de app niet te downloaden, maar dan mag alleen jij niet naar dat verjaardagsfeestje in het café om de hoek. Uit angst voor sociale uitsluiting deed je maar mee. De pandemie heeft Nederland blijvend veranderd, we zijn veel digitaler geworden, communiceren veel vaker enkel via social media. Wie straks de app niet wil, wordt van social media afgesloten. Is het dan nog steeds vrijwillig? De geschiedenis herhaalt zich.

De komende dagen gaan we praten over de financiering en de herkomst van het digitale paspoort, bedoeld om groomers en virussen van het lijf te houden - heet het. Maar is het veilig? Nee. Weet u dat ook weer.

Had u mijn laatste boek over digitalisering trouwens al gelezen? Democratie op de helling koopt u hierrr, er is een e-book (digitaal, lekker handig) en een papieren boek. Wilt u mijn gegraaf mogelijk maken? Ga naar BackMe, of u koopt mijn andere boek, Het Euro Evangelie. Laat uw waardering voor mijn werk merken via de knop hieronder.