Pensioen checker app, onveilig digid flow?

[goodfella]

De iOS versie van Pensioenchecker app vraagt de gebruiker in te loggen via digid.
Dit doen ze echter via een embedded browser in de app zelf ipv een redirect naar native default browser!

Aantal zaken die opvallen.
- de embedded browser komt mij absoluut niet bekend voor, welke browser(kit) is dit?
- de url bovenin is niet aan te klikken of te veranderen en ziet er erg provisorisch uit.

Wanneer je de app opent.


Een onveilige embedded digid logon verzoek?


Wat vinden jullie hiervan?

[ Voor 6% gewijzigd door goodfella op 16-03-2023 16:12 ]

[laurens0619]

Belabberd

Normaal opent die ook netjes de digid app.

Maar ik ben bang dat dit komt omdat de app helemaal niet gekoppeld is met digid en je die credentials invoert niet digid.nl is, maar een pagina van hun die ze proxien als een soort MITM.
Het levert ze namelijk de sessiekey op waarmee ze serverside de pensioendata kunnen opvragen.

Maar dat zijn aannames, je zou een http proxy kunnen instellen in ios om dat bijvoorbeeld te verifieren.

edit: ik denk dat mijn aanname wel klopt want ik herken het Ockto stuk.
Dat heb ik een keer eerder gezien bij een hypotheek aanvraag, als ik er op google zie je dit breed gebruikt worden. Lijkt legitieme koppeling maar maakt dat onderscheid maar als gebruiker. Ik zou daar geen credentials achterlaten iig

[ Voor 46% gewijzigd door laurens0619 op 16-03-2023 17:11 ]

[i-chat]

laurens0619 schreef op donderdag 16 maart 2023 @ 16:47:
Belabberd

Normaal opent die ook netjes de digid app.

Maar ik ben bang dat dit komt omdat de app helemaal niet gekoppeld is met digid en je die credentials invoert niet digid.nl is, maar een pagina van hun die ze proxien als een soort MITM.
Het levert ze namelijk de sessiekey op waarmee ze serverside de pensioendata kunnen opvragen.

Maar dat zijn aannames, je zou een http proxy kunnen instellen in ios om dat bijvoorbeeld te verifieren.

edit: ik denk dat mijn aanname wel klopt want ik herken het Ockto stuk.
Dat heb ik een keer eerder gezien bij een hypotheek aanvraag, als ik er op google zie je dit breed gebruikt worden. Lijkt legitieme koppeling maar maakt dat onderscheid maar als gebruiker. Ik zou daar geen credentials achterlaten iig

Als jouw verhaal klopt dan zou ik dat eens melden de redactie, dat is namelijk behoorlijk nieuwswaardig, die toko voert dan inderdaad een MiTM uit en dat is zelfs met toestemming van de burger verboden, het is immers volgens de ToS van digid verboden je gegeven aan derden te verstrekken. Bovendien is een mitm een technische kunstgreep om je toegang te verschaffen tot een beschermd geautomatiseerd systeem.
ten derde geef je je in feite uit door die session id te gebruiken alsof je de burger zou zijn (in plaats van diens gemachtigde kortom je geeft je uit voor een persoon die je niet bent...
als laatste breng je door het kapen van sesion-ids de veiligheid van systemen in gevaar.

Dat zou dus 2 strafrechtelijke vergrijpen (hacken en id-fraude), een overtreding van gebruiksvoorwaarden EN een onrechtmatige daad (ingevaar brengen van privacy dataveiligheid). en dan heb ik het nog niet over privacy-wetging gehad. want in principe ben je namelelijk ook nog verplicht om persoonsgegevens effectief en veilig te verwerken. Dus daar zit OOK nog een overtreding in.

[laurens0619]

@i-chat
Als ik dit lees ben ik bang dat het wel zo werkt (en gek genoeg keurt logius dat goed).

Als je op twitter kijkt dan zie je dat ze vaker de vraag hebben gekregen “wtf”

https://twitter.com/koenr...&t=TYHGQsFPyZVmkXKjyOqybg

Gisteren gaf de productmanager DigiD, Annemieke de Kloe, aan dat er actie was ondernomen na een melding van een burger. “Door die melding zagen we dat binnen een paar seconden op hetzelfde BSN-nummer vanuit zes ip-adressen werd ingelogd”, vertelde ze. Uit voorzorg heeft Logius van 150 mensen die via hypotheekkluis.nl hadden ingelogd het DigiD-account verwijderd, zij moesten nieuwe gegevens aanvragen. De woordvoerder van Logius, Michiel Groeneveld zei een paar weken geleden hierover: “Hypotheekkluis heeft op de eigen site een inlogpagina gemaakt voor DigiD om zo op de achtergrond gegevens op te kunnen halen bij allerlei overheden. Dat is met goede bedoelingen gebeurd, maar inloggen mag alleen op de website van DigiD. Anders kunnen DigiD-wachtwoorden in handen van derden vallen.” Logius ziet de manier waarop de Hypotheekbond de tool had ingericht als phishing.
Ockto
Een andere partij, Ockto, die op een vergelijkbare manier data ophaalt wordt door Logius ontzien. Een aantal bezoekers vroeg zich af waarom dit bij de ene partij wel wordt gedoogd en bij de andere partij niet. “Wat is dan het verschil dan? Waarom mag het via de tool van Ockto wel en bij de Hypotheekbond niet?”, was één van de vragen. Sommige publieksleden spraken hun verbazing en verontrusting uit. De verbazing en verontrusting had te maken met de security van de data. “Ik heb hier geen goed gevoel bij, 150 gebruikers waarvan de data makkelijk kon worden ingelezen.”

https://www.amweb.nl/1035...ionale-hypotheekbond-niet

[ Voor 12% gewijzigd door laurens0619 op 16-03-2023 20:35 ]

[i-chat]

@laurens0619 dank je voor de bevestiging, ik heb een submit gedaan aan de redactie, hopelijk doen zij er ook iets mee. dit is echt heel schokkend. ik ben benieuwd hoe diep dit nu echt zit.`

wacht eens even... dit tweets zijn uit 2020... dit probleem bestaat al 3 jaar?

Hoe in godsnaam kan dit...

[ Voor 22% gewijzigd door i-chat op 16-03-2023 22:11 ]

[Zilla]

Het lijkt erop dat deze app gebouwd is door een pensioen fonds. Aan de screenshot te zien log je in bij "stichting pensioenregister - mijnpensioenoverzicht.nl" en niet bij de pensioenchecker. Digid laat zien waar je werkelijk inlogt.

Het lijkt er dus op dat ze de informatie van mijnpensioenoverzicht.nl scrapen en dit tonen in de app. Dan heb je als app bouwer geen digid koppeling nodig en kan je gebruik maken van de data van mijnpensioenoverzicht.

De aparte webview wordt waarschijnlijk gebruikt om de data van de website te scrapen. Bijzonder dat dit door de keuring van Apple gekomen is.

[i-chat]

@Zilla ja dat je inlogt bij een platform dat kennelijk gekoppeld mag zijn aan digidis an sich niet zo gek

Mijn zorgverzekeraar doet dat ook en mn huisarts gaat dat geloof ik ook doen

Het gaat er in deze om dat men niet netjes via de api om autorisatie vraagd

Je weet wel met die koppel code in de digid app
Maar dat ze in plaats daarvan in-app om inloggegevens vragen

Laten we vooropstellen dat ik vrijwel 99,999% zeker ben dat alle partijen in deze te goeder trouw handelen

Desondanks

- maakt dit sessie highjacking mogelijk of gebeurt het ook
- laat je mensen juist dat doen dat absoluut verboden is: zomaar ergens zonder controle digid gegevens in een app steken

En dan nog de laatste red flag inloggen per digid app lijkt helemaal niet te worden geboden
Dat maakt het verhaal van een veilig inloggen zoveel minder aannemelijk

[g1n0]

laurens0619 schreef op donderdag 16 maart 2023 @ 20:28:
Als je op twitter kijkt dan zie je dat ze vaker de vraag hebben gekregen “wtf”

Maar dit bij meerdere andere instanties inloggen zou toch nooit werken met mfa enabled? Ik neem tenminste aan dat je met een sms code maar 1 authorisatie (bij dus maar 1 instantie) goed kan keuren. Het is tenslotte (heel terecht) geen SSO. Of mensen zouden 6 keer een sms code moeten invullen oid.

Ik weet dat dit een tweet uit 2020 is, maar als deze praktijken nog steeds plaats vinden is het wel bijzonder. Daarnaast bestond de mfa in 2020 ook al een tijdje denk ik?

[goodfella]

In OAuth 2.0 termen zouden ze, naar mijn inziens gewoon netjes, een Authorization Code Grant flow moeten implementeren. Waarbij de de Pensioenchecker app een geregistreerde en goedgekeurde Client moet zijn.

Er lijkt hier geen sprake van proper Authorisatie Delegatie.

[laurens0619]

@g1n0 zover ik weet moet je inderdaad inloggen per portal waar je de data gaat ophalen.

@goodfella
Ik denk dat het probleem is dat het simpelweg niet bestaat in digid om deze data op de juiste manier beschikbaar te stellen voor derden. Waarschijnlijk is dat ook de reden dat dit gedoogd wordt.

mrja wel veel aannames

[Drardollan]

Volgens mij bestaat er onder iOS niet zoiets als een "embedded" of "alternatieve" browser. iOS ondersteunt enkel de eigen WebKit, elke browser die je op iOS installeert maakt hier gebruik van. In feite is dus elke browser hetzelfde op de looks na. Hiermee is het dus zo dat het allemaal niet zoveel uitmaakt, het is allemaal net zo veilig als onveilig.

Deze methode wordt veelvuldig toegepast. Ook als je bijvoorbeeld een Microsoft 365 account configureert op je iPhone werkt dit via eenzelfde flow.

Wellicht is er een betere en nettere methode via de DigiD app, maar dat maakt deze methode niet per definitie onveilig.

[Drardollan]

i-chat schreef op vrijdag 17 maart 2023 @ 00:48:
Het gaat er in deze om dat men niet netjes via de api om autorisatie vraagd

Je weet wel met die koppel code in de digid app
Maar dat ze in plaats daarvan in-app om inloggegevens vragen

Laten we vooropstellen dat ik vrijwel 99,999% zeker ben dat alle partijen in deze te goeder trouw handelen

DigiD wordt je regelmatig gevraagd om inloggegevens, om daarna te bevestigen met je DigiD app (2FA). Dat zal voor deze app niet anders zijn, er is zover ik weet geen DigiD inlog meer mogelijk zonder 2FA.

Desondanks

- maakt dit sessie highjacking mogelijk of gebeurt het ook

In theorie is dit altijd mogelijk, er is geen extra risico met deze methode. Ook de DigiD app stuurt verkeer naar een server en geeft een sessie/token uit, die is ook gewoon te onderscheppen.

- laat je mensen juist dat doen dat absoluut verboden is: zomaar ergens zonder controle digid gegevens in een app steken

Dat doe je constant, als je inlogt bij bv. de Belastingdienst op je computer dan wordt je ook omgeleid naar de DigiD website/

[goodfella]

laurens0619 schreef op vrijdag 17 maart 2023 @ 08:30:
@g1n0 zover ik weet moet je inderdaad inloggen per portal waar je de data gaat ophalen.

@goodfella
Ik denk dat het probleem is dat het simpelweg niet bestaat in digid om deze data op de juiste manier beschikbaar te stellen voor derden. Waarschijnlijk is dat ook de reden dat dit gedoogd wordt.

mrja wel veel aannames

Dat het simpelweg niet bestaat in Digid? Jawel hoor. Als ik bij Ditzo voor mijn zorgverzekeraar inlog dan wordt ik wel degelijk doorgestuurd in een ander tabje naar digid.nl. Lijkt op authorisatie delegatie.

[goodfella]

Drardollan schreef op vrijdag 17 maart 2023 @ 08:44:
[...]
DigiD wordt je regelmatig gevraagd om inloggegevens, om daarna te bevestigen met je DigiD app (2FA). Dat zal voor deze app niet anders zijn, er is zover ik weet geen DigiD inlog meer mogelijk zonder 2FA.

Jawel, op toeslagen worden enkel gebruikersnaam en wachtwoord gevraagd.

[Drardollan]

goodfella schreef op vrijdag 17 maart 2023 @ 09:13:
[...]


Jawel, op toeslagen worden enkel gebruikersnaam en wachtwoord gevraagd.

Dacht dat dat er helemaal uit was, maar kan inderdaad nog. Maar dat is dus hetzelfde als de genoemde app doet, dus normaal en veilig neem ik aan.

[laurens0619]

@goodfella
Ik weet even niet de technische benaming maar ik bedoel:
- DigiD kan een authenticatie provider zijn voor bv Ditzo, Mijnpensioenfonds en in theorie ook voor "Pensioenapp". Dit zorgt ervoor dat je via digid oauth kunt inloggen en geauthenticeerde sessie krijgt op die sites.
- DigiD kent de data uit mijnpensioenfonds niet, die staat in mijn pensioenfonds. Zover ik weet kan digid het niet faciliteren om data van applicatie 1 naar applicatie 2 te sturen

Dus stel, ze zouden de pensioen app officieel onboarden, dan kun je netjes via de DigiD methode/app inloggen op die pensioen app. Alleen dan staat er geen data in de app dus is die omgeving vrij nutteloos

@Drardollan
De truuk die ze toepassen werkt ook als MFA aan staat via SMS. MFA via de app denk ik dat wat lastiger is/niet kan

[ Voor 32% gewijzigd door laurens0619 op 17-03-2023 09:23 ]

[Drardollan]

laurens0619 schreef op vrijdag 17 maart 2023 @ 09:16:
@Drardollan
De truuk die ze toepassen werkt ook als MFA aan staat via SMS. MFA via de app denk ik dat wat lastiger is/niet kan

Is er nog 2FA middels SMS voor DigiD mogelijk?

[xFeverr]

Drardollan schreef op vrijdag 17 maart 2023 @ 08:40:
Volgens mij bestaat er onder iOS niet zoiets als een "embedded" of "alternatieve" browser. iOS ondersteunt enkel de eigen WebKit, elke browser die je op iOS installeert maakt hier gebruik van. In feite is dus elke browser hetzelfde op de looks na. Hiermee is het dus zo dat het allemaal niet zoveel uitmaakt, het is allemaal net zo veilig als onveilig.

Deze methode wordt veelvuldig toegepast. Ook als je bijvoorbeeld een Microsoft 365 account configureert op je iPhone werkt dit via eenzelfde flow.

Wellicht is er een betere en nettere methode via de DigiD app, maar dat maakt deze methode niet per definitie onveilig.

Je kunt als appbouwer met een WkWebview gewoon heel veel gegevens eruit halen en Javascript en andere zaken injecteren. Dat kan met Safari zelf niet, want daar kun je niet aan. Je kunt dus geen ingebouwde browser van een app vertrouwen. En zeker niet als die ingebouwde browser je laat inloggen bij een dienst als DigId.

[Frogmen]

Wat is het nut van een pensioenchecker app. Het is nou niet echt dat die data super dynamisch is. Als de data 1x per jaar wijzigt is het veel. Ik zie wel heel veel potentieel risico en boeiende data voor een mitm.

[ Voor 20% gewijzigd door Frogmen op 17-03-2023 09:29 ]

[Kalentum]

Drardollan schreef op vrijdag 17 maart 2023 @ 09:25:
[...]

Is er nog 2FA middels SMS voor DigiD mogelijk?

Zeker, dat gebruik ik.

[laurens0619]

@Frogmen
Ik snap het nut van die app niet, mijn penisioenoverzicht is ook compleet toch?

De Ockto methode wordt vrij breed gebruikt, vooral in de hypotheek wereld
Zoals:
https://www.ing.nl/partic...ampagnes/ockto/index.html
https://www.centraalbeheer.nl/hypotheek/kennis/ockto
https://www.snsbank.nl/pa...execution-only/ockto.html

Daar snap ik het nut wel, het was namelijk een vrij vervelend werk alle data te verzamelen voor mijn hypotheek aanvraag. Toch heb ik dat handmatig gedaan want destijds boden ze mij ook de ockta optie aan waar ik geen trek in had. Dus ik snap het nut wel, maar de implementatie vind ik bijzonder


@xFeverr
Ik vraag mij af wat ze precies doen. Misschien de sessie capturen en daarmee met losse http requests de data downloaden of gewoon de gebruiker laten inloggen en dmv de methodes die jij noemt via de app de paginas openen en de data downloaden.

[ Voor 25% gewijzigd door laurens0619 op 17-03-2023 09:33 ]

[i-chat]

Drardollan schreef op vrijdag 17 maart 2023 @ 08:44:

inloggevens verstrekken:
DigiD wordt je regelmatig gevraagd om inloggegevens, om daarna te bevestigen met je DigiD app (2FA). Dat zal voor deze app niet anders zijn, er is zover ik weet geen DigiD inlog meer mogelijk zonder 2FA.

het hele punt was juist dat je bij digid juist gevraagd wordt om NIET zomaar overal je gegevens in te vullen maar dit specifiek alleen te doen op de website digid.nl (met het groene slotje).

[/q]
stelen van session IDs:
In theorie is dit altijd mogelijk, er is geen extra risico met deze methode. Ook de DigiD app stuurt verkeer naar een server en geeft een sessie/token uit, die is ook gewoon te onderscheppen.
[q] Als het goed is natuurlijk niet, ja als ik met jouw app inlog op een met digid beveiligd platform dan heeft jouw app toegang tot dat platform. wanneer ik je echter mijn username + password geef kun je daar heel veel meer mee. maar zelfs als JIJ gewoon goeder trouw bent stuur je nog wel steeds min username + password naar je server, en stuurt je server die naar digid.nl hoe handig zou het zijn om die MitM aanval (want dat is het) op jouw beurt aan te vallen en doodleuk een beetje te gaan zitten hengelen.

nu is het al erg genoeg dat de digid app lek kan zijn of dat platform problemen kan hebben, maar door dit soort installaties krijg je er een hele grote atackvector bij.

Dat doe je constant, als je inlogt bij bv. de Belastingdienst op je computer dan wordt je ook omgeleid naar de DigiD website/

precies wat je zelf zeg, je stuurt je data naar de DigiD website, dus niet naar 3rdparty apps.

[Drardollan]

Kalentum schreef op vrijdag 17 maart 2023 @ 09:31:
[...]


Zeker, dat gebruik ik.

Ik lees het nu ook. Ik had er iets van gelezen en dacht dat het volledig uitgebannen was, maar blijkbaar gaat dat iets meer gefaseerd. Iets met klok en klepel

[Drardollan]

i-chat schreef op vrijdag 17 maart 2023 @ 09:38:
[...]

het hele punt was juist dat je bij digid juist gevraagd wordt om NIET zomaar overal je gegevens in te vullen maar dit specifiek alleen te doen op de website digid.nl (met het groene slotje).

Ik zie in het onderste screenshot van TS anders prima de DigiD website en URL mét groen slotje?

[/q]
stelen van session IDs:
In theorie is dit altijd mogelijk, er is geen extra risico met deze methode. Ook de DigiD app stuurt verkeer naar een server en geeft een sessie/token uit, die is ook gewoon te onderscheppen.
[q] Als het goed is natuurlijk niet, ja als ik met jouw app inlog op een met digid beveiligd platform dan heeft jouw app toegang tot dat platform. wanneer ik je echter mijn username + password geef kun je daar heel veel meer mee. maar zelfs als JIJ gewoon goeder trouw bent stuur je nog wel steeds min username + password naar je server, en stuurt je server die naar digid.nl hoe handig zou het zijn om die MitM aanval (want dat is het) op jouw beurt aan te vallen en doodleuk een beetje te gaan zitten hengelen.

nu is het al erg genoeg dat de digid app lek kan zijn of dat platform problemen kan hebben, maar door dit soort installaties krijg je er een hele grote atackvector bij.

Nee, dit is gewoon een veilige manier van inloggen. Zolang het verkeer over een encrypted verbinding loopt en netjes gecontroleerd wordt dan is een MiTM geen optie. Dat zal nooit de data kunnen uitlezen, door de encryptie.

Als je een app niet vertrouwd, dan moet je hem niet gebruiken. Deze Pensioenapp gebruikt gewoon de standaarden en normale werkwijze. Als je dat niet fijn vind, dan gebruik je hem niet.

De manier hoe dit werkt is niks vreemds aan. Het zou mooier zijn als ze inderdaad de DigiD App zouden aanroepen, maar deze manier van inloggen wordt veelvuldig toegepast op het internet. Je gebruikersnaam en wachtwoorden worden niet naar een server van PGGM gestuurd, die vul je in op de veilige DiGiD website en vervolgens verstrekt die een geldig token aan de PGGM server zodat de app de gegevens heeft.

Gewoon een simpel SAML request, dit is de workflow:

[...]
precies wat je zelf zeg, je stuurt je data naar de DigiD website, dus niet naar 3rdparty apps.

Zoals gezegd, dan moet je de App van PGGM niet gebruiken en direct naar de website gaan.

[ Voor 12% gewijzigd door Drardollan op 17-03-2023 11:54 ]

[laurens0619]

Ik heb toch even gespiekt wat die voor request doet en de app doet echt zelf een request naar pensioenoverzicht en digid.nl, het is geen proxy.

Dus of ze gebruiken dat browser window vanuit de app vervolgens om de data te raadplegen en te downloaden of ze halen simpel de sessie key uit de browser window en doen dat vervolgens serverside.

Dat is ook wel te zien maar ik ga mijn credentials daar niet invoeren

[goodfella]

laurens0619 schreef op vrijdag 17 maart 2023 @ 09:16:
@goodfella
Ik weet even niet de technische benaming maar ik bedoel:
- DigiD kan een authenticatie provider zijn voor bv Ditzo, Mijnpensioenfonds en in theorie ook voor "Pensioenapp". Dit zorgt ervoor dat je via digid oauth kunt inloggen en geauthenticeerde sessie krijgt op die sites.

In deze situatie, volgens OAuth 2.0 is DigiD kan een Authorisatie Provider, i.p.v Authenticatie Provider (kan ook tegelijkertijd, maar de gebruiker (Resource Owner) geeft in feite toestemming om pensioen data uit te laten lezen door een andere applicatie (Client).
Eenmaal geauthoriseerd, dan wordt een Access Token verkregen met scopes die toestemmingen geven tot bepaalde data of bewerkingen daarvan (acties).

Deze tokens kunnen door Clients, niet te verwaren met gebruikers (Resource Owners), worden gebruikt om "protected resources" te raadplegen/bewerken namens Resource Owners. Dit is het delegeren van authorisatie.

laurens0619 schreef op vrijdag 17 maart 2023 @ 09:16:
@goodfella

- DigiD kent de data uit mijnpensioenfonds niet, die staat in mijn pensioenfonds. Zover ik weet kan digid het niet faciliteren om data van applicatie 1 naar applicatie 2 te sturen

Dus stel, ze zouden de pensioen app officieel onboarden, dan kun je netjes via de DigiD methode/app inloggen op die pensioen app. Alleen dan staat er geen data in de app dus is die omgeving vrij nutteloos

Dit is waarom OAuth 2.0 in het leven is geroepen.

[ Voor 7% gewijzigd door goodfella op 17-03-2023 15:56 ]

[goodfella]

xFeverr schreef op vrijdag 17 maart 2023 @ 09:27:
[...]


Je kunt als appbouwer met een WkWebview gewoon heel veel gegevens eruit halen en Javascript en andere zaken injecteren. Dat kan met Safari zelf niet, want daar kun je niet aan. Je kunt dus geen ingebouwde browser van een app vertrouwen. En zeker niet als die ingebouwde browser je laat inloggen bij een dienst als DigId.

Ben ik het zeer mee eens.

Drardollan schreef op vrijdag 17 maart 2023 @ 11:45:
[...]

Ik zie in het onderste screenshot van TS anders prima de DigiD website en URL mét groen slotje?

De URL balk lijkt gewoon een mockup, het is geen echte URL balk maar een plaatje lijkt mij. Dit verklaart ook waarom het zo slecht eruit ziet met de iOS statusbar bovenin.

[ Voor 14% gewijzigd door goodfella op 17-03-2023 15:39 ]

[goodfella]

Drardollan schreef op vrijdag 17 maart 2023 @ 09:25:
[...]

Is er nog 2FA middels SMS voor DigiD mogelijk?

Volgens mij heb ik dat ook nog wel ergens gezien. Waar niet meer precies waar.

[goodfella]

Drardollan schreef op vrijdag 17 maart 2023 @ 11:45:
[...]

Nee, dit is gewoon een veilige manier van inloggen. Zolang het verkeer over een encrypted verbinding loopt en netjes gecontroleerd wordt dan is een MiTM geen optie. Dat zal nooit de data kunnen uitlezen, door de encryptie.

Als je een app niet vertrouwd, dan moet je hem niet gebruiken.

Het vertrouwen is er idd niet, en gebruik het ook niet.

Hoe kan je dit een veilige manier van inloggen vinden. De URL balk lijkt gewoon een mockup, het is geen echte URL balk maar een plaatje lijkt mij. Dit verklaart ook waarom het zo slecht eruit ziet met de iOS statusbar bovenin.

Drardollan schreef op vrijdag 17 maart 2023 @ 11:45:
[...]

Deze Pensioenapp gebruikt gewoon de standaarden en normale werkwijze. Als je dat niet fijn vind, dan gebruik je hem niet.

Sorry, maar ben je enigzins verbonden aan deze partij?
De discussie gaat over veiligheid van credentials en of hier wel netjes met data/privacy wordt omgegaan.Niet over of ik het wel of niet zou moeten gebruiken.

Drardollan schreef op vrijdag 17 maart 2023 @ 11:45:
[...]


De manier hoe dit werkt is niks vreemds aan.

...

Gewoon een simpel SAML request, dit is de workflow:

[...]

Zoals gezegd, dan moet je de App van PGGM niet gebruiken en direct naar de website gaan.

Het is wel vreemd als een onbekende 'webkitview' in-app te voorschijn komt waarvan de URL balk niet aan te klikken is.

[Drardollan]

goodfella schreef op vrijdag 17 maart 2023 @ 15:49:
[...]

Sorry, maar ben je enigzins verbonden aan deze partij?
De discussie gaat over veiligheid van credentials en of hier wel netjes met data/privacy wordt omgegaan.Niet over of ik het wel of niet zou moeten gebruiken.

Wat is dat nou weer voor zinloze dooddoener? Nee, ik ben nergens mee verbonden. Uiteraard niet.

Er wordt netjes mee omgegaan. Dat jij het er niet zo netjes uit vind zien, dat is een ander verhaal. Maar tot nu toe heb ik in geen enkele post gezien wat er precies niet goed zou zijn. Dat dingen netter of anders kunnen, dat geloof ik wel.

En als jij je er dus niet comfortabel bij voelt, dan moet je het niet gebruiken. Niet meer, niet minder. Er is niets mis met de constructie zover ik kan zien, en aangezien tot op heden niemand laat zien dat dit wel zo is ga ik er vanuit dat het prima op orde is op deze manier.

[...]


Het is wel vreemd als een onbekende 'webkitview' in-app te voorschijn komt waarvan de URL balk niet aan te klikken is.

Daar is werkelijk niets vreemd aan. Ik maak dat dagelijks mee in apps op de iPhone. Het is overigens ook 1 van de redenen waarom Apple afdwingt om hun ingebouwde systemen te gebruiken. Als ze dat niet zouden doen dan zou het wel een probleem kunnen worden.

Je lijkt ook over het hoofd te zien dat Apple zeer strenge eisen stelt aan apps in de AppStore en hier een serieus review team voor heeft. Als er iets in zou zitten wat niet goed is, dan was deze app niet in de AppStore gekomen.

[ Voor 13% gewijzigd door Drardollan op 17-03-2023 16:00 ]

[Zilla]

i-chat schreef op vrijdag 17 maart 2023 @ 00:48:
@Zilla ja dat je inlogt bij een platform dat kennelijk gekoppeld mag zijn aan digidis an sich niet zo gek

Deze implementatie van inloggen is op zijn minst bijzonder te noemen. Ik ben dit nog nergens anders tegen gekomen. Bij de diensten die van Digid gebruik maken heb ik tot nu toe altijd de app kunnen gebruiken. Volgens mij is dit ook niet de standaard inlog-flow die normaal gebruikt wordt bij het inloggen met Digid.


Enkele dingen die mij verder opvielen.

In de app wordt om toestemming gevraagd om de data op te halen en dat ze daarvoor gebruikmaken van ockto. Als ik op meer informatie klik, dan zie ik een afbeelding waar op staat dat de data via Ockto wordt opgehaald bij mijnpensioenoverzicht.nl/

In een screenshot die op de pagina van de app in de App Store wordt deze werkwijze bevestigd.

• Verbinden met mijnpensioenoverzicht.nl...
• Informatie ophalen...
• informatie in de pensioenchecker gebruiken...

Wanneer je wilt inloggen lijkt het alsof je op een webpagina van Digid komt. De styling van het inlog scherm komt overeen met hoe een Digid inlogscherm er normaal ook uit ziet.

De adresbalk bevind zich aan de bovenkant van het scherm, terwijl bij de laatste ios versies deze naar beneden is verplaatst.
De adresbalk ziet er niet uit als een standaard adresbalk.
In een normale browser redirect de getoonde url (https://digid.nl/inloggen_ww) naar digid.nl.

Hierdoor is het lastig om te controleren of je ook daadwerkelijk bij Digid inlogt of dat er nog een proxy tussen zit.

Verder kan je alleen kan inloggen met een gebruikersnaam en wachtwoord, terwijl je bij elke andere dienst ook de app van Digid kan gebruiken.