Studie maakt brandhout van vingerafdrukken op identiteitskaart

Een studie van de onderzoeksgroep Computer Security and Industrial Cryptography (COSIC) van de KU Leuven maakt brandhout van de beslissing van de regering-Michel om digitale vingerafdrukken toe te voegen aan de elektronische identiteitskaart (eID). De maatregel, die in april van kracht gaat, is onduidelijk, overbodig, disproportioneel en bovendien ook nog eens bijzonder risicovol, zo is de vernietigende conclusie.

De Kamer zette in november ondanks een negatief advies van de Gegevensbeschermingsautoriteit het licht op groen voor het wetsontwerp van toenmalig minister van Binnenlandse Zaken Jan Jambon (N-VA). Vanaf april 2019 zal de identiteitskaart digitale vingerafdrukkenbeelden bevatten, die niet langer dan drie maanden worden opgeslagen in een centrale databank.

Volgens de onderzoekers van COSIC is de wet te onduidelijk over de werking van en toegang tot de centrale opslag. “Bovendien maakt de wet geen enkele melding of nog maar een suggestie van technische maatregelen die de gegevens moeten beschermen, noch wat betreft de opslag op de chip van de identiteitskaart, noch wat betreft de toegang tot deze opslag en evenmin wat betreft de centrale opslag. Het totaal gebrek aan technische beschermingsmaatregelen in de wet is zorgwekkend.”

Disproportioneel

Daarnaast stelt de studie dat de maatregel, die officieel als doel heeft om identiteitsfraude te bestrijden, disproportioneel is. Volgens de onderzoekers maakt de overheid nu al onvoldoende gebruik van de mogelijkheden van de biometrische gegevens die wel al op de kaart staan, met name de foto van het gezicht.

Bovendien is de maatregel slechts effectief bij één vorm van identiteitsfraude, waarbij een persoon een geldige identiteitskaart die net van hem is ter controle aanbiedt, en dergelijke fraude kan gemakkelijk worden gedetecteerd op basis van de foto. Bij verscheidene andere scenario’s van identiteitsfraude, heeft de maatregel geen nut. De onderzoekers sommen er zes op.

Onveilig

Dat de wet ook oplegt dat een “digitaal beeld” van de vingerafdrukken moet worden bewaard op de chip van de eID en bovendien kan worden “uitgelezen”, is eveneens problematisch. “Nochtans volstaat het dat de desbetreffende personen en organisaties in staat zijn om de opgeslagen vingerafdrukken te vergelijken met de vingerafdrukken van de houder van de kaart, hiervoor is het uitlezen niet noodzakelijk”, luidt het. “De wet verhindert het nemen van de gepaste technische maatregelen om een optimale bescherming te bekomen van biometrische data.”

Zo sommen de onderzoekers vier veiligere alternatieven op om een letterlijke opslag en uitlezing van de vingerafdrukken te vermijden, die onder meer al worden gebruikt door MasterCard en bij Spaanse eID’s. Een daarvan is de “sensor-on-card”, waarbij de eID voorzien is van een sensor voor het inlezen van vingerafrukken, waardoor de kaart zelf kan aangeven of de aangeboden vingerafdruk al dan niet overeenstemt. “Kaarten uitgerust met een sensor bieden veel betere garanties op het vlak van gegevensbescherming, aangezien uitsluitend de kaart zelf in aanraking komt met de vingerafdrukken en er geen mogelijkheid is tot het uitlezen van de vingerafdrukken opgeslagen in de chip.”

De onderzoekers klagen ook het gebruik van een centrale databank aan, terwijl de vingerafdrukken perfect op de chip in te laden zijn bij het afhalen van de eID. Ze vrezen voor “function creep” – waarbij de gegevens aangewend worden voor een ander doel dan oorspronkelijk voorzien – en uitlekken, misbruik en manipulatie van de gegevens.

Tot slot wijst de studie erop dat het beschermingsprotocol dat de overheid gebruikt voor de chips van eID’s, “niet meer voldoet aan de huidige stand van de techniek”. “De technologie zoals momenteel gebruikt biedt onvoldoende garanties om het uitlezen van de vingerafdrukken door onbevoegden te verhinderen”, zeggen de onderzoekers.

Reacties

In een reactie benadrukt het kabinet-De Crem dat het om een dossier gaat dat afgerond werd onder de vorige minister van Binnenlandse Zaken Jan Jambon (N-VA). “Wij hebben het onderzoek zelf nog niet gezien”, zegt een woordvoerder. “We hebben contact opgenomen met de administratie, waar aan specialisten gevraagd wordt om de studie te bekijken en te analyseren.” De woordvoerder van Jan Jambon noemt de studie op Twitter “bedenkelijk”.

Privacyjurist Matthias Dobbelaere-Welvaert reageert tevreden op de publicatie. De initiatiefnemer van “Stop de Vingerafdruk“, een crowdfundingactie om de wet aan te vechten voor het Grondwettelijk Hof, vindt het goed dat een onafhankelijk instituut zich op basis van een technische analyse uitspreekt tegen de maatregel. “Dit is fantastisch nieuws voor onze zaak”, zegt hij. “Juridische en ethische of maatschappelijk argumenten zijn vaak moeilijk te verdedigen, maar hier staat het nu zwart op wit op basis van een technische analyse.”

Ondertussen hebbben al meer dan 800 mensen een financiële bijdrage aan “Stop de Vingerafdruk” gegeven. Toeval of niet, het ingezamelde bedrag rondde net vrijdag/vandaag de kaap van 20.000 euro. Dobbelaere-Welvaert verwacht dat het verzoekschrift tegen de maatregel volgende week of de week daarna zal worden ingediend bij het Grondwettelijk Hof.