Nieuw: IRMA-aansluiting op SURFconext

IRMA (I Reveal My Attributes) is een nieuwe privacy-vriendelijke methode voor attribuut-gebaseerd identity management. Met IRMA kunnen gebruikers zelf een persoonlijk “paspoort” op hun telefoon vullen met attributen die voor hen gelden, via een eigen IRMA-app.

Hoe werkt het?

Gebruikers van IRMA moeten eerst zelf hun app vullen met een aantal attributen. Dat kan nu via de stichting, op de pagina:
https://privacybydesign.foundation/uitgifte/

Gebruikers kunnen bijvoorbeeld attributen ophalen bij de Nederlandse banken (via iDIN), via het BIG register (voor medische professionals), maar sinds kort ook via SURFconext. Hierbij fungeert de stichting als SURFconext Service Provider, die na inloggen van een gebruiker bij de eigen onderwijs instelling  attributen uitgeeft in de IRMA-app. Het gaat dan om attributen als naam, email adres, student/staff-rol, of lokaal registratie nummer.

Tegelijkertijd is IRMA ook een Identity Provider voor gastgebruik bij SURFconext. Dit betekent dat in principe met deze attributen ook weer ingelogd kan worden bij diensten die gastgebruik toestaan, net zoals dat nu mogelijk is met accounts van sociale netwerken als Facebook en LinkedIn.

Zodoende worden SURFconext attributen als het ware “geparkeerd” binnen de IRMA-app. Ze worden opgehaald bij een Identity Provider en veilig opgeslagen binnen de IRMA-app. Later kunnen deze attributen weer worden vrijgegeven door de app wanneer bij een Service Provider wordt ingelogd.

Attributen via de IRMA app

Zie ook dit filmpje over IRMA.

Welke voordelen biedt IRMA?

Waarom zou je IRMA gebruiken? Vooralsnog biedt IRMA toch niets extra ten opzichte van inloggen met SURFconext?

Hieronder een aantal redenen:

1. Sommige van de IRMA-attributen kunnen ook buiten de eigen instelling nuttig zijn. Zo zou een webwinkel als bol.com bijvoorbeeld korting kunnen geven wanneer iemand kan bewijzen student te zijn.

2. IRMA kan gevuld worden met meerdere attributen uit verschillende bronnen. Iedere onderwijsinstelling kan zelf aanvullende attributen uit gaan geven voor eigen gebruik, bijvoordbeeld voor inschrijving bij bepaalde vakken. Deze uitgifte kan dan gekoppeld worden aan de SURFconext-attributen.

3. IRMA-attributen uit andere bronnen, zoals bijvoorbeeld het BIG-register, kunnen in academische ziekenhuizen intern gebruikt worden voor authenticatie. Ook kan IRMA door patiënten gebruikt worden om in te loggen. Hiermee wordt binnenkort een pilot gedaan.

4. Er wordt in Nijmegen geëxperimenteerd om IRMA ook te gebruiken voor sterke authenticatie. Daar zouden andere instellingen op termijn ook gebruik van kunnen maken.

5. De stichting Privacy by Design werkt nu aan een ecosysteem voor attribuut-gebaseerde digitale handtekeningen, waarmee medewerkers of studenten verzoeken of verklaringen (zoals tentamenuitslagen) van een digitale handtekening kunnen voorzien.

6. Inloggen met IRMA attributen geeft transparantie over de attributen die gevraagd worden en verloopt misschien wel sneller dan inloggen met username en wachtwoord — als deze niet door een browser onthouden worden.

Hoe maak ik IRMA beschikbaar voor mijn gebruikers?

Om SURFconext-attributen beschikbaar te maken als IRMA-attributen in de app dient een bij SURFconext aangesloten instelling eerst de uitgiftepagina van IRMA expliciet “aan te zetten” (IRMA als Service Provider). Dat kunnen beheerders van de instelling doen via het SURFconext Dashboard.

Diensten die gastgebruik via IRMA willen toestaan (IRMA als Identity Provider), kunnen contact opnemen met support@surfconext.nl.

Gebruikers van deze instellingen kunnen vervolgens attributen opslaan in hun IRMA-app. De Android app is beschikbaar via Google Play. De iOS versie via de App Store.

IRMA attributen in actie

Aansluiting van de eigen instelling op IRMA draagt bij aan de ontwikkeling van IRMA als een open platform voor authenticatie en opent deuren voor nieuwe ontwikkelingen. De webpagina van de stichting bevat veel achtergrond informatie. Voor aanvullende informatie: irma@privacybydesign.foundation

IRMA is de afgelopen jaren ontwikkeld aan de Radboud Universiteit in de securitygroep van Prof. Bart Jacobs — de winnaar van de SURF Security en Privacy Award 2017. In 2016 is IRMA ondergebracht bij een onafhankelijke, non-profit, open-source stichting genaamd “Privacy by Design”. Deze stichting richt zich op de verdere ontwikkeling en uitrol van IRMA. Zie: https://privacybydesign.foundation

Author

Comments

Dit artikel heeft 0 reacties