OpenID,
net zo veilig als DigiD?
Ir. Christiaan J. Roselaar
Ceo/co-founder ITsec Security Services bv
12 mei 2009 ITsec Security Services BV 1

Wie kwamen er vandaag met de auto?
12 mei 2009 ITsec Security Services BV 2

Veilig bestaat niet!
12 mei 2009 ITsec Security Services BV 3

Even voorstellen
Christiaan J. Roselaar

Ceo/co-founder ITsec Security Services

de “pentest-professionals”

financials, telecom

When IT(-security) matters
12 mei 2009 ITsec Security Services BV 4

Agenda
Beveiliging in een perspectief

Hoe werkt OpenID?

Protocolrisico’s

Implementatierisico’s

Net zo veilig als DigiD?

Conclusie

12 mei 2009 ITsec Security Services BV 5

Welke risico’s zijn er?
En ben je bereid die te accepteren?

12 mei 2009 ITsec Security Services BV 6

Welke maatregelen?
Restrisico’s benoemen en accepteren

Balans tussen waarde/maatregelen,

risico’s en restrisico’s
12 mei 2009 ITsec Security Services BV 7

Rationeel?
12 mei 2009 ITsec Security Services BV 8

Hoe werkt OpenID?
12 mei 2009 ITsec Security Services BV 9

Protocol-issues OpenID
Geen authenticatie tijdens registratie

Geen trust-infrastructuur

Hergebruik van mijn OpenID?!

Privacy-issues (Google)

Afhankelijkheid van IdP (24*7..)

Gevoelig voor Phishing

12 mei 2009 ITsec Security Services BV 10

Implementatierisico’s
Kwaliteit @ IdP

In(secure) storage?

In(secure) programming?

Patch & vuln. Management?

Procedures?

Screening?

Kwaliteit @ SP

Dito ..

12 mei 2009 ITsec Security Services BV 11

OpenID en beveiliging
Primaire driver: gemak

Voor zaken van geen of weinig waarde

waarde of
Voor zaken waar “merchant” én client

bereid zijn het risico te nemen
12 mei 2009 ITsec Security Services BV 12

En DigiD dan?
Live-demo

12 mei 2009 ITsec Security Services BV 13

Samenvatting
Veel toepassingsmogelijkheden OpenID
Maar:
 100% veilig bestaat niet
 Niets is spontaan veilig..
 Plan-do-check-act!
12 mei 2009 ITsec Security Services BV 14

Dank voor uw aandacht
Ir. C.J. Roselaar
c.roselaar@ITsec.nl
http://www.itsec.nl
12 mei 2009 ITsec Security Services BV 15