Infrastructuur voor IRMA-app klaar voor grootschalige inzet

Privacy by Design en SIDN

IRMA is het (prijswinnende) geesteskind van professor Bart Jacobs, hoogleraar Security, Privacy en Identity aan de Radboud Universiteit in Nijmegen. Het beheer van de software en de verdere ontwikkeling ervan zijn ondergebracht in de Stichting Privacy by Design.

Hoewel de relatie verder terug gaat, zijn Privacy by Design en SIDN eind 2018 een strategische samenwerking voor IRMA aangegaan. Daarbij nemen wij de verantwoordelijkheid voor de operationele kant op ons. Dat betekent dat SIDN niet alleen de backbone beheert, maar ook werkt aan de verdere professionalisering en het vermarkten van IRMA. De Stichting Privacy by Design ontwikkelt de software voor IRMA en de doorontwikkeling van de app.

Waarom IRMA veilig is

Alle broncode voor IRMA is beschikbaar als open source, wat betekent dat "iedereen" de werking en veiligheid van het programma kan verifiëren. De software is dus voor iedereen toegankelijk en dat stimuleert het gebruik en daarmee de impact die het heeft. Inmiddels blijkt uit onderzoek dat de kwaliteit en veiligheid van veelgebruikte open-source software hoger ligt dan die van gesloten software *1. Wij zijn verantwoordelijk voor de technische infrastructuur, in de IT-wereld ook wel backbone genoemd. Om de kwaliteit en veiligheid te waarborgen hebben wij de backbone van IRMA laten testen. Dat deed hetzelfde bedrijf dat ook de penetratietests op de infrastructuur voor de .nl-zone uitvoert. Zij hebben daarbij geen kwetsbaarheden ontdekt. *1) Toelichting waarom de kwaliteit en veiligheid van open-source software hoger ligt dan gesloten software:

• Coverity Scan Report Finds Open Source Software Quality Outpaces Proprietary Code for the First Time

• Reliability Issues in Open Source Software

• Security of Open Source and Closed Source Software: An Empirical Comparison of Published Vulnerabilities.

Waarom IRMA een veilige keuze is

De IRMA-backbone, bestaat uit een 3 kernprocessen en draait in de hoog-beschikbare omgeving van SIDN.

• Extra bescherming tegen DDoS-aanvallen

  Dat betekent onder andere dat deze services zich achter een beschermingsmuur tegen DDoS-aanvallen bevinden. SIDN is onderdeel van de Nationale Anti-DDoS-Coalitie. De kennis en ervaring die wij daar opdoen zetten wij ook in voor de bescherming van de IRMA-backbone. Daarnaast zijn wij gecertificeerd volgens ISO 27001, de internationale standaard voor informatiebeveiliging.

• Gegarandeerde beschikbaarheid en schaalbaarheid

  Om de beschikbaarheid en schaalbaarheid van de IRMA-dienst te garanderen, testten wij de prestaties en robuustheid van de onderliggende backbone onder verschillende scenario's. Uit deze load- en performance-testen blijkt dat de responsetijden bij toenemende belasting kort en voorspelbaar blijven. Bovendien schaalt de huidige infrastructuur zonder problemen op tot 2,5 miljoen transacties per uur. Om dit in verhouding te plaatsen: Vorig jaar deden we in Nederland 4,7 miljard PIN-transacties (536 duizend per uur) *2. En VISA en Mastercard verwerkten vorig jaar samen grofweg 100 miljard transacties in heel Europa (11,4 miljoen per uur) *3. Daarmee kunnen de prestaties van IRMA’s backbone zich dus nu al meten met de volumes van de grootste commerciële transactieverwerkers. Voorspelbare responsetijden garanderen bovendien een consistente gebruikerservaring. *2) https://factsheet.betaalvereniging.nl/ *3) https://nilsonreport.com/publication_chart_and_graphs_archive.php?1=1&year=2020

• Publicatie van alle broncode

  Naast onze commitment voor de beschikbaarheid en betrouwbaarheid van de infrastructuur biedt de publicatie van alle broncode nog een ultieme garantie voor de continuïteit van de IRMA-software. Alle sources zijn namelijk altijd beschikbaar om deze zelf door te ontwikkelen of om dit door een andere dienstverlener te laten doen. Ondanks de beperkte grootte van de betrokken partijen, worden daarmee belangrijke risico's voor de grootschalige inzet van IRMA weggenomen.

IRMAconnect ontzorgt

Om de integratie van IRMA met de online portal van een klant te vergemakkelijken, ontwikkelden wij de dienst IRMAconnect. IRMAconnect ontzorgt en vertaalt het IRMA-protocol naar de SAML 2.0, OAuth. Hierdoor is het heel eenvoudig om IRMA in je web-omgeving op te nemen en te gebruiken als verificatiemiddel met attributen zoals BRP of mailadres.

Gebruikers van IRMA

• Meerdere gemeenten, zoals Amsterdam en Nijmegen

• Zorgverzekeraars, zoals VGZ

• PGO leveranciers, zoals Ivido.

IRMA is zowel inzetbaar in het publieke als het private domein. Dat maakt IRMA in potentie een waardevol eID dat via IRMAconnect makkelijk uitrolbaar is.

Partner van IRMAconnect

Inmiddels is Connectis een partner van IRMAconnect. Connectis, een leverancier van online identiteitsinfrastructuur en voorheen onderdeel van SIDN, levert IRMA als IdP via IRMAconnect aan haar klanten. IRMA is te gebruiken met een simpel vinkje.

Powered by SIDN

De backbone van de IRMA-dienst wordt volledig gerund en beheerd door SIDN. Voor degene die ons niet kennen: wij zijn de not-for-profit organisatie die onderandere verantwoordelijk is voor het Nederlandse top-level domein: .nl. Als operator van de .nl-zone onderhouden wij de kritieke DNS-infrastructuur voor meer dan 6 miljoen domeinnamen en verwerken wij 2,5 miljard DNS-queries per dag. Daarmee leveren wij een cruciale bijdrage aan de stabiliteit, veiligheid en continuïteit van de Nederlandse internetinfrastructuur en de daarvan afhankelijke maatschappelijke activiteit en economische bedrijvigheid. Wij hebben jarenlange ervaring met het beheer van een van de meest vitale onderdelen van het Nederlandse internet. Ons onderzoeksteam SIDN Labs is bovendien een wereldwijde pionier en voortrekker in de ontwikkeling en standaardisatie van beveiligingstechnologie voor de internetinfrastructuur.

• Lees meer over IRMAconnect

• Lees meer over IRMA powered by SIDN