Knab mag smartphone-app voor gebruik bankrekening verplichten

| AE 12933 | Ondernemingsvrijheid | 86 reacties

Knab mag klanten verplichten om een smartphone-app te gebruiken om toegang tot hun persoonlijke bankomgeving te krijgen en hoeft geen cardreader als alternatief aan te bieden, zo las ik bij Security.nl, op gezag van een uitspraak van financiële klachteninstituut Kifid. Sinds juli van dit jaar konden klanten niet langer met een cardreader inloggen maar alleen nog met een smartphone-app. Knab stelt dat het vorig jaar noodgedwongen een aantal extra veiligheidsmaatregelen heeft ingevoerd vanwege een toename van phishing, en de geschillencommissie gaat daarin mee.

Een consument was het er niet mee eens dat de bank deze stap nam en het gebruik van de cardreader niet meer mogelijk wilde maken. Hij stapte niet naar de rechter maar naar het klachteninstituut voor de financiële sector Kifid. Een stuk sneller en goedkoper, dat wel. Helaas voor hem krijgt hij ongelijk, al weet ik niet of de rechter heel anders had geoordeeld.

Voorop staat immers dat een organisatie -ook een bank- zelf bepaalt hoe ze haar dienstverlening inricht. Specifieke wetgeving over hoe een bank haar diensten toegankelijk moet maken is er niet, dus val je terug op algemene regels. Zoals het Kifid het zegt:

Van deze wijzigingsbevoegdheid mag de bank geen gebruik maken op een manier die naar maatstaven van redelijkheid en billijkheid onaanvaardbaar is. De bank dient daarbij rekening te houden met alle omstandigheden van het geval. Zie hiervoor artikel 6:248 lid 2 van het Burgerlijk Wetboek (BW). Dit artikel bepaalt dat een tussen partijen als gevolg van een overeenkomst geldende regel niet van toepassing is, voor zover dit in de gegeven omstandigheden naar maatstaven van redelijkheid en billijkheid onaanvaardbaar zou zijn. Het gebruik van het woord ‘onaanvaardbaar’ laat zien dat terughoudendheid moet worden betracht bij het op grond van de beperkende werking van de redelijkheid en billijkheid buiten toepassing laten van een regel die tussen partijen is overeengekomen.
De consument had dus wel een heel dringende reden moeten vinden om over die terughoudendheid heen te kunnen springen. En die was er niet. Het ging zo te lezen met name om de bekende zorg om privacy bij dataslurpende apps, maar als je daarmee bij juristen komt dan moet je wel specifieker worden. Anders krijg je dit:
Verder heeft de bank betwist dat er, anders dan door de consument wordt gesteld, sprake is van het ongelimiteerd vergaren van privacygevoelige informatie door de bank. Ook heeft de bank aangevoerd dat niet alle machtigingen hoeven te worden goedgekeurd en dat de app ook dan is te gebruiken. De consument heeft tegenover de betwisting van de bank niet aangetoond dat dit anders is.
Tel daarbij op dat men tien maanden van tevoren al ging aankondigen naar app-only te gaan, dat de motivatie voor de bank mede lag in de onveiligheid van het oude systeem en dat de consument zeker nog bij andere banken terecht kan. En dan snap je dat het Kifid zegt, dit is niet maatschappelijk onaanvaardbaar.

Arnoud

Deel dit artikel

    • Ik ben bang van niet en dat dit ‘gewoon’ een onderdeel gaat worden van de zorgwekkende situatie waarin banken indirect zeggenschap krijgen over zaken waar ze zich naar mijn mening niet mee zouden moeten bemoeien.

      Zo heeft Nederland prostitutie gelegaliseerd, maar is het voor prostituees schier onmogelijk om een zakelijke rekening te openen en worden de privé rekeningen die ze gebruiken gesloten als banken er achter komen dat ze zakelijk gebruikt worden. Dit kan omdat banken 1. zelf mogen bepalen met wie ze zaken doen en 2. zich verschuilen achter de WWFT; het zou te fraude gevoelig zijn. En zo worden banken tot de moraal ridders van Nederland.

      De aangekondigde (en geannuleerde) beleidswijziging van OnlyFans, de ‘adult’ content ban van diverse online platformen … allemaal het gevolg van betalingsproviders die de moraal ridder spelen.

      Ik ken diverse mensen die geen smartphone willen, sommigen zijn oud en willen ‘gewoon bellen’ sommigen willen geen apps die ze kunnen tracken (terecht of niet ze mogen dit vinden). Ik ken zelfs iemand die helemaal geen mobiel heeft, want hij wil niet overal bereikbaar zijn, dus waarom zou hij er geld aan uitgeven. Maar met een overheid die aanstuurt op alles digitaal betalen en banlen die dit soort dingen doen, dwingen de banken je straks dus om een smartphone te hebben. De laatste bank die een app verplicht zal geen stro breed in de weg gelegen worden. Tegen die tijd is het argument geworden dat dit gangbaar is en dus toegestaan.

      Ik ben nog steeds overtuigd van een noodzaak voor minstens 1 bank in elk land die per post communiceert, geheel off-line te maangen is, alleen voor betalingen en sparen is, geen rood staan (krediet) aanbied en verplicht alle klanten moet accepteren. Dit vanwege het maatschappelijk belang van banken en dat je niet mee kan doen aan de samenleving zonder bank.

      Ideaal zou zijn als deze bank een debit card aanbied als credit card alternatief. Een payment processor gevestigd in de EU met een verbod dat deze provider ooit in niet EU handen komt, zodat de VS (waar het ultieme eigendom van alle payment processors tegenwoordig ligt) hun macht over deze industrie nooit kan gebruiken om hun wil buiten de grenzen op te leggen.

      • Er zijn vele mensen die uit levensovertuiging of geloof dingen vermijden. Bijvoorbeeld het eten van vlees, het gebruik van elektronica op sommige dagen of het verwerken van sommige ingrediënten in dezelfde keuken.

        Waarom is het wel redelijk om te eisen dat een anti-smartphone persoon een smart phone gaat gebruiken en niet redelijk om te forceren dat een vegetariër vlees eet (e.g. in een gevangenis) of forceren dat een zwaar orthodoxe jood tijdens de Sjabbat een computer gebruikt.

        Het is niet aan de overheid om te oordelen dat het geloof dat het altijd bereikbaar zijn dmv een mobiele telefoon slecht voor je is, een stom geloof is dat genegeerd mag worden terwijl een geloof dat slachtvoorschriften eist die tegen dierenwelzijn in gaat wel een redelijk geloof is.

        De overheid eist dat jij een bankrekening hebt, anders kan je geen loon, uitkeringen of toeslagen ontvangen. Zij zouden dan moeten garanderen dat er die mogelijkheid er is voor iedereen, zonder conflicten met hun geloof. Ik neem aan dat de overheid ook niet alleen maar niet-vegetarische maaltijden mag aanbieden in gevangenissen.

        • Maar er zijn banken genoeg die geen app eisen?

          Dat laatste kan nog gewoon bij de meeste traditionele banken. Je bent niet verplicht om de app te gebruiken bij ABN Amro, Rabobank, Triodos en de Volksbank (ASN Bank, SNS, Regiobank).

          https://www.bankenvergelijking.nl/blog/kan-ik-ook-bankieren-zonder-app/

          Als dit rijtje kleiner wordt dan drie dan zou ik een overheidstaak zien om appvrij bankieren te stimuleren. Ik twijfel alleen wel of je “ik wil geen app” gelijk kunt stellen met een religieuze overtuiging.

          • Mijn eigen insteek zou zijn dat de overheid een “bank of last resort” gaat aanbieden, niet alleen voor natuurlijke personen, maar ook voor rechtspersonen die door de huidige KYC/AML regels niet meer kunnen functioneren. Hoeft alleen een betaalrekening te zijn, mag iets meer kosten dan een gewonen bank, zolang die bank maar geen winst maakt, en iedereen gewoon een basis rekening kan krijgen, tenzij er een rechter zegt dat het echt niet kan (dwz. als een organisatie verboden is). Leg andere banken ook een verplichting op om met die bank transacties uit voeren.

            Daarnaast gewoon eisen opleggen over toegankelijkheid voor mensen met lichamelijke of geestelijke beperkingen (tot een bepaald niveau), zodat zoveel mogelijk mensen zelfstandig kunnen bankieren bij de bank van hun keuze. Daar hoeft papier niet perse een rol in te spelen.

            • De EU schrijft voor dat iedere consument in de EU een basic bank acoount moet kunnen openen. (EU Directive 2014/92/EU) Dat mag zelfs in een ander EU land als je daar een belang voor kan aantonen. Dit account mag niet geweigerd worden louter op het feit dat je niet in dat land woont.

              Eigenlijk de enige reden dat zo’n account geweigerd kan worden aan een consument is de WWFT, als daaraan niet voldaan wordt mag de bank weigeren.

              Voor bedrijven is dat echter niet geregeld. Die kunnen simpelweg bij alle banken geweigerd worden en die roepen dan contractvrijheid. Wel is het zo dat als werkelijk elke bank in Nederland je heeft geweigerd, je met een legale onderneming een goede kans hebt dat de rechter een bank dwingt een zakelijkerekening te openenen. Iets wat vooral in de ‘adult entertainment’ industrie (volkomen legaal in Nederland, maar imago en excuses over witwassen…) gebeurt.

              Wat mij betreft heeft de EU met haar basic bank account dus een steek laten vallen door niet legale ondernemingen ook toegang te geven tot dergelijke accounts.

  1. Ook heeft de bank aangevoerd dat niet alle machtigingen hoeven te worden goedgekeurd en dat de app ook dan is te gebruiken.

    Ja, je KUNT bijvoorbeeld machtigingen op je camera weigeren. Maar als je geen privacyverkrachtende selfies doet, mag je geen transacties boven de 1000 euro meer doen. Ik zit noodgedwongen bij KNAB, maar zodra de aankoop van m’n huis rond is en ik daardoor niet meer voor depositogarantiestelsel van meerdere banken afhankelijk ben, gaat KNAB de deur uit.

    • Ik vrees dat dit soort selfies en scans van ids de nieuwe standaard gaan worden in bank-apps, in ieder geval totdat er vanuit de overheid een fatsoenlijk mechanisme voor digitale attestatie van je identiteit aangeboden gaat worden (en dat kan nog wel even op zich laten wachten). De reden is dat overheden identificatie van klanten verplicht stelt, en ook heel sterk aandringt op het voorkomen van fraude en witwassen.

      • Het nadeel is alleen dat banken en financiële dienstverleners totaal geen software kunnen bouwen omtrent goedkeuring. Had het eerder dit jaar nog met ICS: ik moest en zou een selfie ter verificatie maken, maar dan alléén op mobiel omdat selfiecamera’s daarvan beter zouden zijn dan die van laptops (hun woorden!). De verificatiesite werkte niet eens op laptops. Dus ik doe dat met een telefoon, krijg ik te horen dat de foto van te lage kwaliteit is! Terwijl smartphonecamera’s beter zouden zijn volgens hun…! Vervolgens op twee andere telefoons geprobeerd (waarvan eentje geleend), maar daarop werkte de site niet goed. Vervolgens op een vierde, eveneens geleende, telefoon geprobeerd en ein-de-lijk werd alles goedgekeurd. En voor de duidelijkheid: een foto anderzijds maken en uploaden kon niet want er was geen uploadmogelijkheid, dus ik kon niet alsnog met de eerste telefoon een betere foto maken en die dan uploaden.

        Conclusie: áls ze dit al verplicht willen stellen, laat ze dan in ieder geval fatsoenlijke software bouwen en niet zeggen dat smartphonecamera’s beter zijn, maar vervolgens foto’s afkeuren omdat de kwaliteit niet goed is.

        • Dit is heel eenvoudig te verklaren en heeft weinig te maken met de beeldkwaliteit van de camera: een mobieltje is een compleet systeem, waarvan de software nog enigszins de integriteit van het geheel kan controleren, en de samenhang van diverse gerelateerde gegevens, zoals je telefoonnummer, IMEI, GPS locatie, e.d. Hierdoor juist is zo’n foto (eigenlijk een filmpje) beter te vertrouwen dan een random geuploade foto (die je immers van het internet geplukt kunt hebben). Merk op dat tegelijkertijd met het maken van zo’n selfie de software ook kijkt of je toestel niet geroot of jailbroken is, en dat ook die informatie als metadata meegaat.

  2. Ik was ook klant van Knab, en heb om deze reden moeten overstappen naar een andere (zakelijke) bank. De reden was dat de app niet werkte op mijn telefoon; bij het opstarten crashte deze meteen. De oorzaak lijkt erin te liggen dat ik Android heb zonder Google Play Services (niet te verwarren met de Google Play store), maar een open source implementatie hiervan. Dit leverde overigens ook al eerder problemen op, want Knab vroeg in 2020 aan al haar klanten zich (opnieuw) te identificeren, en de enige mogelijkheid was om dit via de app te doen. In de zomer van 2020 heb ik dit probleem bij Knab gemeld, maar ze zijn niet in staat gebleken dit te verhelpen, want de app crasht tegenwoordig nog steeds. Knab is de enige mij bekende banking app die het niet doet op “deGoogled”. Ik vermoed dat een andere bank niet met deze eis weg zou komen, maar aangezien Knab vermoedelijk relatief jonge klanten heeft zullen er weinig klachten over binnenkomen. De helft van alle 75+’ers gebruikt in ieder geval nog geen smartphone.

    • Volgens de website van KNAB kan je nog steeds identificeren zonder telefoon. Even bellen 😉

      Ik heb geen mobiel toestel om mezelf te identificeren, wat nu? Mocht je niet over een (geschikte) smartphone beschikken, of tegen technische problemen aanlopen, neem dan contact op met onze Service Experts via 020 – 303 1602. We helpen je graag om het identificatieproces succesvol te doorlopen.

      Zie KNAB FAQ

      Trouwens die KNAB site laadt scripts van fast.wistia.com en schrijft in de localstorage zonder toestemming te vragen. Mag dat? WISTIA: One easy-to-use platform that turns your videos and podcasts into marketing machines

  3. Ik was ook klant van Knab, en heb om deze reden moeten overstappen naar een andere (zakelijke) bank. De reden was dat de app niet werkte op mijn telefoon; bij het opstarten crashte deze meteen. De oorzaak lijkt erin te liggen dat ik Android heb zonder Google Play Services (niet te verwarren met de Google Play store), maar een open source implementatie hiervan. Dit leverde overigens ook al eerder problemen op, want Knab vroeg in 2020 aan al haar klanten zich (opnieuw) te identificeren, en de enige mogelijkheid was om dit via de app te doen. In de zomer van 2020 heb ik dit probleem bij Knab gemeld, maar ze zijn niet in staat gebleken dit te verhelpen, want de app crasht tegenwoordig nog steeds. Knab is de enige mij bekende banking app die het niet doet op “deGoogled Android”. Ik vermoed dat een andere bank niet met deze eis weg zou komen, maar aangezien Knab vermoedelijk relatief jonge klanten heeft zullen er weinig klachten over binnenkomen. De helft van alle 75+’ers gebruikt in ieder geval nog geen smartphone.

  4. Als de bank jouw forceert om een app te gebruiken, forceren ze daarmee dan dat jij akkoord gaat met dan wel de Google of Apple voorwaarden? Dat zijn vaak namelijk de enige platformen waarop de app beschikbaar is. De bank mag dan aantonen waarom deze voorwaarden redelijk en billijk zijn, inclusief de data vergaring / verwerking en het opslaan daarvan op Amerikaanse servers die onder de Amerikaanse (privacy) wetgeving vallen die de Amerikaanse overheid kan omzeilen als ze dat nodig achten onder het mom van national security.

    Of is het antwoord heel simpel. De bank mag alles doen omdat de klant kan overstappen naar een bank die dit (nog) niet eist?

    p.s. Zelf ben ik geen hardcore privacy activist die deze platformen vermijd, maar ik verwacht wel dat er dit soort mensen zijn.

    • Als ik daar even een principiële bedrijfsjurist tegenover mag spelen. Leg mij eens concreet uit waarom het zo ernstig is om met de Google of Apple voorwaarden akkoord te gaan? Er is geen toezichthouder of rechter in Europa/Nederland die deze als geheel als onrechtmatig heeft aangemerkt. Ook onder de AVG is nooit vastgesteld dat Google of Apple de wet overtreden. Wat is er dan precies mis met te vertrouwen op deze bedrijven, wat is er onredelijk aan de eis een van hun platforms te gebruiken?

      • Ik ken eigenlijk alleen de hypocriete bedrijfsjusrist ik zal hem even spelen: Mijn bedrijf heeft alle recht om zelf te bepalen met wie wij zaken doen, ook als die partij helemaal legaal opereert (zie mijn post hier boven voor wat voorbeelden). Wij hebben er echter geen moeite mee om te zeggen dat jij niet mag klagen als we je dwingen zaken te doen met een partij waar jij geen zaken mee wil doen. Waarom zou je daar geen zaken mee doen, er is immers geen bewijs dat ze de wet overtreden…

        Ik weel nu even niet of ik 🙂 of :'( moet gebruiken…

          • Ja ik weet wel dat banken een grote vrijheid hebben om hun klanten te kiezen. Maar dat is geen vrijbrief om maar willekeurig drempels op te werpen.

            Bankdiensten zijn essentieel in de samenleving. Je mag van een bank wel verwachten dat ze verantwoordelijk omgaan met die vrijheid.

            Ik weet niet of Knab dat in dit geval doet. Ik zie beide kanten wel, maar neig toch eerder naar: het is wat onredelijk van Knab.

              • Inderdaad ik vond het een beetje vreemd, maar ik snap de redenatie erachter: hoger opgeleiden worden geacht minder risicovol gedrag te vertonen, en maken daarom lagere prijzen of een hogere winstmarge mogelijk. Daar zullen best wel statistieken achter zitten, en merk op dat dit gewoon mag (uitgezonderd voor ziektekostenverzekeringen, waar gewoon een algemene aannameplicht voor geldt). Ik zelf kies er bewust voor niet van hun diensten gebruik te maken.

                Nu zijn er de nodige verzekeringen waar je een significant verschil tussen het risico voor mannen en vrouwen bestaat, maar daar mag je niet meer op selecteren — het enige wat je dan nog kan doen is (de labelling van) je product aantrekkelijker maken voor mannen danwel vrouwen (autoverzekering alleen adverteren in media waar meer vrouwen dan mannen naar kijken, materiaal onaantrekkelijk maken voor mannen, sportautos extra duur maken, etc.)

                Op een vergelijkbare manier kun je ook op andere “verboden” kenmerken selecteren, zolang je die gegevens maar hebt.

              • De verzekering is uiteindelijk voor iedereen, de reclame alleen voor hoogopgeleiden. Daardoor stuur je het klantenbestand ook redelijk goed. En daadwerkelijk diploma’s controleren is veel te veel werk. De eerste jaren waren zorgverzekeringen met internet-only ook veel voordeliger dan nu. Daar zaten namelijk alleen studenten en tech-hippies (of nerds) allemaal jong, en weinig ziek. Tegenwoordig is dat effect veel kleiner.

                • Volgens mij vraagt Promovendum er nog steeds naar, en accepteren ze je misschien wel als je het onjuist invult, maar als je dan met een grote claim komt, kunnen ze het alsnog controleren, en de claim afwijzen omdat je hebt gelogen bij de aanvraag (dat is de goedkoopste route, weet niet of ze dat echt doen). Nu is 40% van Nederland HAVO of hoger opgeleid, dus hebben ze nog best wel een grote vijver om in te vissen.

                  Internet is tegenwoordig standaard. Vroeger was het verhaal dat het de kosten van papier bespaard, en inderdaad, dat je jongeren krijgt met lage kosten is dan mooi meegenomen.

              • Ik snap wat je bedoelt, maar ook ik ben oud genoeg om “voor internet bankieren heeft u Windows 95 nodig” te hebben meegemaakt.

                Alleen was het in die tijd ook nog steeds mogelijk om met een acceptgiro, eurocheque, overschrijvingskaart en schriftelijke machtiging al je bankzaken te regelen. Je kreeg maandelijks (of na grote transacties eerder) een papieren overzicht toegestuurd en als je geen computer had kon je alles doen.

                Inmiddels kan je al bij meerdere banken bijna niets meer zonder online bankieren en is een computer verplicht. Ik heb verschillende van mijn oude computers gedoneerd aan mensen in de bijstand die geen computer konden betalen en daardoor nog meer problemen met bankzaken kregen. En als die straks naast een computer met internetabonnement ook nog eens een smartphone met authenticator moeten hebben dan wordt de armoede voor hen nog groter.

                Dit is niet zomaar een zakelijk probleem, dit is een reëel maatschappelijk probleem waar heel veel Nederlanders vandaag de dag al tegenaan lopen.

                Vandaar mijn bovengenoemde pleidooi voor minimaal 1 bank die de noodzakelijke betaaldiensten aanbiedt zonder allerlei dure randvoorwaarden en zonder beperkingen op wie klant kan worden.

        • Banken die door de overheid in stand werden gehouden i.v.m. het maatschappelijke belang, zouden verplicht moeten worden te zorgen voor een basis bankrekening. Verschil tussen zakelijk en privé, beroep of werkgebied, enz. kunnen bij zo’n rekening niet, aangezien de overheid het gebruik van een bankrekening vereist. Net zoals het uitbannen van contant geld in het maatschappelijke verkeer verboden zou moeten zijn. Er zijn mensen die om vigerende redenen niet kunnen erken met iets anders dan contant geld. Zij raken het overzicht kwijt en komen dan in een bewindssituatie terecht. Daar wordt hen voor de dagelijkse boodschappen cash verstrekt.

  5. Natuurlijk gaat het hier vooral om de legale aspecten, het is immers een juridisch blog. Maar hoe zit dat met ethiek? Ik ben geen jurist maar een IT-er en ik worstel vaak met de ethische kant van mijn vak. En dan bedoel ik niet de ethiek omtrent privacy en zo, maar de ethiek die gepaard gaat met de keuze voor oplossingsrichtingen. Als IT-er heb ik altijd geleerd dat in ons vak de oplossing altijd in dienst van de gebruiker is, en dat de kwaliteit van hun ervaring centraal staat. (Als de keus is tussen een simpeler systeem of groter gebruikersgemak, dient het laatste dus te winnen.) Maar steeds vaker zie je dat de gebruiker gedwongen wordt op een manier te werken die voor het systeem beter uitkomt. Dat is mi. de omgekeerde wereld. Voor mij is dat een serieuze gewetenskwestie: datgene waarvoor ik ooit de IT als vak heb gekozen raakt meer en meer van ondergeschikt belang.

  6. “Ook heeft de bank aangevoerd dat niet alle machtigingen hoeven te worden goedgekeurd en dat de app ook dan is te gebruiken. De consument heeft tegenover de betwisting van de bank niet aangetoond dat dit anders is.”

    Ik dacht dat de AVG zo was ingericht dat je alleen informatie mag opvragen die je nodig hebt voor je dienstverlening. Het kan dan toch niet zijn dat je machtigingen opvraagt voor informatievergaring die je niet nodig hebt?

  7. Knab stelt dat het vorig jaar noodgedwongen een aantal extra veiligheidsmaatregelen heeft ingevoerd vanwege een toename van phishing

    Onzin, in de zin van een slap excuus. Je maakt klanten slachtoffer van je eigen slachtofferschap. Een card-reader is een extra veiligheidsmaatregel. Je geeft toe: ons systeem was niet veilig en gevoelig voor phishing; nu doen we niet graag het beste voor onze klanten en haar veiligheid, maar de nood dwingt ons om wel stappen te ondernemen. Toename van phishing door Corona, niet door onextra veiligheid. Card-readers niet noodgedwongen weggehaald bij andere banken… Misschien gewoon toegeven dat je een app op mobiel voortaan wil. Is makkelijker updaten, en je slurpt ook bakken meer waardevolle data binnen. Permissies zo instellen dat ook andere bakken in de toekomst gevuld kunnen worden. Oneerbaar en klantondeugdelijk.

    Het is niet billijk om van iedere klant te verwachten dat ze een mobiel hebben. Zo’n ding breekt vaker dan een cardreader, of wordt gestolen, of er is geen geld of wil om een moderne telefoon te hebben. Of klant is autistisch (app installeren op telefoon broer, ipv samen reader gebruiken?) of depressief (betaalde rekeningen niet op tijd, en staat nu op banlijst voor abbo’s). Dan ook nog allemaal permissies vragen, bovenop een simpele cardreader, en permissies die nu nog niet noodzakelijk zijn: Ja, we hebben noodzakelijk een aantal extra veiligheidsmaatregelingen getroffen, wegens dure toename van fraude, daarom kan je nu geen cardreader gebruiken, en willen we graag toestemming hebben om je camera te activeren, alvorens je de app installeert, oh wat zeur je, je kan die permissie uitzetten, gaat nog niets stuk, pas in 2022 als we noodgedwongen selfies gaan vragen, om deze dure fraude tegen te gaan.

    Vorig jaar een zwerver een telefoon gegeven met toegang tot internet. Gewoon, kan iemand ook echt iets opzoeken, of video-bellen met dochter of moeder met de Burger King wifi. Nu is dat noodzakelijk om een kroeg of shopping binnen te lopen, met QR code scan. Studenten buiten Europa natuurlijk hun eigen ongeldige toegangscode tonen via mobiel, een simpele fliphone, want de iphone is gestolen. Misschien is voor jezelf de gewoonste zaak van de wereld om een smartphone te hebben, maar voor vele mensen is dat het niet. Je gaat discrimineren op religie, armoede, handicap.

  8. Inmiddels werkt de Knab app alleen nog met IOS 13 of hoger waardoor de aanschaf van een nieuwe iPad of iPhone vanaf 1 oktober noodzakelijk is om te kunnen blijven internetbankieren omdat oudere toestellen door Apple niet meer worden voorzien van de nieuwste besturingssystemen

  9. Juridisch is het prima in orde. Als meelezend niet-jurist vertrouw ik op wat ik lees op dit blog. Wij lezers hier vormen echter een redelijk homogene groep met meestal een positieve grondhouding ten opzichte van techniek, beter dan gemiddelde kennis en een goed-betaalde baan.

    Voor veel mensen zijn er echter nog wel een paar praktische haken en ogen. Toegang verplicht je een smartphone te hebben. Daarop moet een recente versie van het besturingssysteem draaien anders werkt de bank-app niet meer. Voor mensen die niet meer doen dan bellen, whatsappen en internetbankieren betekent het dat je iedere paar jaar, ruim voor je telefoon versleten is, een nieuwe moet kopen. En ja dat zijn er meer dan je denkt. Ondertussen maakt de EU zich druk over druk over USB laders in het kader van het milieu.

    Als vrijwilliger bij de schuldhulpverlening heb ik het een en ander gelezen over het Kifid. Een jaar of wat geleden werd het doorlopend krediet afgeschaft. Het Kifid vond dat niet meer van deze tijd. Een uitspraak van het Kifid is in principe bindend. Nu oordeelt het Kifid dat klanten verplicht kunnen worden om exclusief met een [jonge] smartphone in te loggen. Dit is een beslissing die vergaande consequenties kan hebben. Een instituut als het Kifid hoort hier niet over te oordelen. Hoe de toegang tot je geldzaken geregeld wordt is eigenlijk een beslissing die door de overheid genomen dient te worden. Gebeurt dat niet, dan op zijn minst toetsing door een rechter.

    Weinig subtiel maar goed: “de consumentenbond is van mening dat het Kifid ondergebracht moet worden bij stichting De Geschillencommissie. Daarmee is de onafhankelijkheid beter gewaarborgd. Ook wordt de afhandeling van klachten over financiële producten en diensten in lijn gebracht met de werkwijze in meer dan 50 andere sectoren.”

    Het argument dat je kunt overstappen? Teveel rompslomp. Banken hebben met succes behoud van rekeningnummer tegengehouden.

    En wat als banken straks vinden dat 12.000 euro contant geld opnemen per jaar te veel is?

  10. En die andere banken laten KNAB (dat is toch eigendom van de ING?) eerst even uitvissen hoe KiFid en wellicht de rechter reageert; om vervolgens een na de ander ook de ‘smartphone-APP only’ te verplichten. Tot de laatste (superkleine, onbelangrijke bank met absorbitante prijsstellingen) overblijft zodat de verdediging altijd luidt: “de klant hoeft het niet te accepteren er is een alternatief beschikbaar!” Vervolgens zegt de laatste bank: “Het kan niet van ons als enige bank in Nederland worden gevergd dat wij het oude systeem handhaven, de kosten verantwoorden dat niet.” ‘Et voila’, iedereen is over naar: ‘smartphone-APP only’.

    Ik denk ook dat het argument niet moet zijn of er alternatieven zijn, maar eerder of het maatschappelijk verdedigbaar is dat banken hun dienstverlening veranderen in die van data-handelaar waarbij alle privacy gevoelige data van hun klanten worden verhandeld – al of niet pseudo-geanonimiseerd – en dat de kopers ten alle tijden deze data kunnen aggregeren tot hun doelgroepen en je bestookt wordt met aanbiedingen waartegen je geen “neen” kunt of mag zeggen. De enige vrije keuze is dan: “Wilt u het maandag of dinsdag bezorgd hebben, volg bijgaande ‘track-and-trace’ en u kunt dat aanpassen!” En dus moet de rechter de volgende vraag worden voorgelegd: “Is de burger het slachtvee voor het bedrijfsleven en de overheid, waarbij hun houdbaarheidsdata aangeeft wanneer te slachten?. “Laat ik nu gedacht hebben dat het lijfeigenschap afgeschaft was!?

      • Waaruit blijkt dat banken met hun apps grootschalig dataslurpen en inzetten voor geaggregeerde reclame?

        Het is wat lastig om hier concreet in te zijn. Maar eigenlijk zou de boerenverstandvraag moeten zijn: Mogen ze dat? En zo niet, is de boete lager dan de winst? Indien ja, dan doen de slimme bedrijven het waarschijnlijk.

        Uit de privacy policy van een browser-extensie (reclame en koopjes app) van een bank:

        This information [we collect] may include your name, email address, username and password, account access tokens, retail account log-in credentials, credit card information, phone number, billing address, mailing/shipping address, zip code, […] f you grant inbox permission, we may collect your emails including but not limited to email header data (sender, recipient, date and subject), your transaction or purchase activity and details, travel-related bookings, purchase shipment history and details, and information about your use of coupons and other savings opportunities. […] If you download and use our browser extension, we may collect browsing, product and e-commerce information, including but not limited to product pages viewed, pricing information, location data, purchase history on various merchant websites and services, the price you paid for items, whether a purchase was made, and the coupons that you used (including information regarding whether or not a coupon or coupon code is valid or effective). We may also collect information on coupons and other discounts that you found using our Services, even if you do not use such coupons, so that we may share this coupon and discount information with other users. […] Data such as your IP address, your browser type and language, and your display/screen settings; data about how you use our website and how you interact with our website and mobile advertisements; data about your mobile device; advertising identifiers; precise location data; social media preferences and other social media data; and other data that may be aggregated and/or de-identified (information that doesn’t identify individual consumers/customers).

        • Natuurlijk mag dat niet, dat weet iedereen. Daarom is mijn vraag, dóet men het. En dan is “een volledig amoreel bedrijf zou de rekensom maken en het doen” niet genoeg als antwoord. Bedrijven zijn zelden zo amoreel en zuiver op de kortetermijnwinst ingesteld. Je hebt ook rekening te houden met de langetermijncontinuïteit, bijvoorbeeld omdat je met pensioen wil en je opties wil cashen. Of omdat je bang bent voor bestuurdersaansprakelijkheid als het uitkomt en de raad van commissarissen de publiciteit (en hun ingestorte aandelen) niet leuk vindt. Of je wilt hierna nog ergens anders aan de slag.

          Ik snap dat een koopjes-app commercieel data slurpt. Maar we hadden het over de bankieren-app zelf.

          • Natuurlijk mag dat niet, dat weet iedereen.

            Ik denk dat we een verschillende interpretatie hebben.

            bestookt wordt met aanbiedingen waartegen je geen “neen” kunt of mag zeggen.

            Dit zie ik als upselling. Aanbiedingen met producten op maat, en die maat wordt genomen met de klantdata. Die klantdata komt deels via een app op mobiel. Weet je wie er auto rijd, dan weet je wie er misschien behoefte heeft aan een autoverzekering. Of in policy taal:

            We zijn dan ook voortdurend op zoek naar manieren om onze dienstverlening te verbeteren en deze zoveel mogelijk af te stemmen op jouw persoonlijke wensen en behoeften. Daarbij verwerken we jouw persoonsgegevens zorgvuldig en veilig.

            Dus ga je akkoord met de privacy policy, en installeer je een banking app met permissies, dan mag de bank de persoonsgegevens toch (geaggregeerd) gebruiken voor commerciele doeleinden? En indien dit strak is geregeld, dan mogen deze gegevens toch ook naar derde partijen? En is de stap naar geaggregeerde klantendata voor advertentie-doeleinden toch niet zo groot? Doen grote krediet-kaart bedrijven dit niet al met transactie-data (verkopen aan adverteerders en hedge funds)?

            Elke app op mobiel slurpt data, al helemaal als deze data dient om fraude tegen te gaan.

            Maar door de andere interpretatie (denk ik) vraag je nu eigenlijk: iedereen weet dat het niet mag, maar wie kan mij vertellen wie iets illegaals doet? De rekensom is inderdaad niet alleen de boete, maar dat is toch de gedachte achter concurrentie en nieuw spul: we maken taxi’s overbodig door zelfstandige chauffeurs in te huren. Dan draait dat toch tot de eerste uitspraak of boete? En krijg je niet retro-aktief op je dak?

            Ik wil niet op moraal van bedrijf hoeven vertrouwen. Dat lijkt me niet verstandig. Daarom standaard wantrouwen als er geld in het spel is. Iemand springt er op in. Niet allemaal.

            • Wat ik bedoel, is dat het toch wel een stap is van “het ligt voor de hand dat bedrijven dat gaan doen” naar “banken DOEN dit”. Ik zoek bewijs van dat laatste, want dat kom ik nergens tegen. En zonder concreet bewijs (dus een data collection framework in de APK van een bankieren-app) kom je echt nergens bij de rechter of geschillencommissie.

              Sterker nog, als er nog een keer iemand met zo’n verhaal zonder bewijs naar het Kifid gaat dan verpest ie het voor iedereen: zie je wel, al die privacyzorgen zijn van aanstellerige “ja maar wat als” types die nergens bewijs voor hebben. Ik vind het dus ontzettend belangrijk dat we focussen op de feiten en bewijzen en niet op speculatie wat banken wel zouden willen, wat logisch zou zijn of wat jij of ik zouden doen als we gewetenloze raden van bestuur gaan spelen.

              • De APK van de meeste banken zal een data collectie framework hebben. Je kan ook uitlezen wat er naar de servers gaat. Maar bewijs wat er daarna met deze data gebeurd krijg je ook niet, en zal dus ook niet volstaan.

                Ikzelf zie het niet eens als een geschil: wat zou mij dat benadelen, als de bank, naast de data voor anti-fraude te gebruiken, de data ook inzet voor marketing doeleinden, of geaggregeerd deelt met derde partijen?

                https://www.theverge.com/2018/8/30/17801880/google-mastercard-data-online-ads-offline-purchase-history-privacy komt denk dichtbij tastbaar bewijs. Maar formeel geen bank, en geen mobiele app. Maar wel beetje hoe dat gaat: geheime afspraken en nog niet alles duidelijk.

                Je kan toch alleen naar de geschillencommissie, als er in de privacy policy wat anders staat (zoiets als: we delen anonieme informatie met derden alleen voor verbeteren van de dienstverlening) dan dat er gebeurd? Maar vaak staat er expliciet dat het mag voor commercieel gebruik? Dat is toch voor een reden? Je mag toch wel aannemen dat bedrijven uit winstoogmerk handelen?

                Of gaat ‘em dit niet worden, zonder iets concreets?

              • @Arnoud Ik begreep jouw opmerking direct. Inderdaad zodra je ergens een zaak van maakt dan moet je wel goed beslagen ten ijs komen en dus beschikken over feiten en bewijzen. Dan wil je niet alleen een zaak aanspannen op basis van speculatie. Dat was ook de reden dat ik niet direct reageerde op jouw opmerking en dat ik eigenlijk Torvald’s reactie prettig vond in aansluiting op mijn reactie. Ik ben op zoek naar meer feitelijkheden en meen te weten waar die te zoeken. Pech voor mij is dat ik die informatie niet zo direct weet terug te vinden, maar ik blijf zoeken.

                Wat ik wel weet is dat ook de Nederlandse banken hun eigen FinTech’s hebben opgezet. Motief: het is lucratief en een antwoord op de nieuwe concurrentie (bv. ‘Mobile banking’: https://top10mobilebanks.com/best-mobile-banks-dtop/) . Daarnaast is publiekelijk geheim dat banken hun bancaire positie verliezen aan nieuwe partijen, die onder andere werken met ‘Blockchain’-technologie. Ook dat banken al adverteren dat via hun ‘APPs’ via Google Play (en andere) het combinatiegemak wordt gediend van betalen en administreren, zie:

                Advantages

                Effortlessly connect your banking account to Business Central Incorrect use of financial data is a thing of the past, no more dealing with incorrect data Automatic import of bank transactions Processing payments in Business Central with Bizcuit.

                Een mededeling van een Nederlandse bank via: https://appsource.microsoft.com/ En daar zit m.i. het gevaar dat buitenlandse instituten echt alles tot in het detail te weten komen van iedere burger, zelfs zie ik als één van de aangeboden ‘features’: “Debit Cards for Kids”. Doet mij denken aan het Amerikaans grondwettelijk recht op bezit van aanvalswapens en het jonge kinderen al leren ermee om te gaan.

                En dus rijst bij mij de vraag: “Moeten wij eerst wachten op het bewijs of moeten wij het misbruik voor zijn?” Bij het laatstgenoemde beoog ik een pro-actieve, kritische houding bij de burger en zelfs bij de overheden, die zeggen de burger te beschermen.

                Kom erop terug. Dank aan Torvald en dank aan Arnoud.

              • Je bedoelt dat de klager dit even had moeten aanhalen: tientallen scripts van externe partijen waaronder Facebook en Twitter worden ingeladen in beveiligde bankomgeving https://gathering.tweakers.net/forum/list_messages/1749477

                En ja als de bank het één keer gedaan heeft dan is het best aannemelijk dat de bank het nog een keer doet. Je zou verwachten dat er net als bij de belastingdienst dan een soort omkering van bewijslast komt. Laat de bank dan maar bewijzen dat het niet zo is, het is te billijken dat de klant wantrouwend is.

  11. Ook ik heb dit probleem met de KNAB. Mijn bezwaar is dat KNAB open source gebruikers (Android AOSP) uitsluit en de app alleen voor Android met gesloten Google services aanbiedt. KNAB bank gaat van een internet bank niet naar een app bank, maar naar alleen een Google en Apple bank. Dat is concurrentievervalsend, waarom zou een Huawei telefoon, Android AOSP of Pinephone niet voldoen als smartphone? En de bank zegt transparantie voorop te stellen in de communicatie met de klant: Allereerst stelt Knab de belangen van haar klanten voorop door transparant te zijn en eerlijk met haar klanten te communiceren. Deze openheid is een belangrijke waarde van Knab geworden maar doet dat dus niet want de app is niet open source.

    De Autoriteit Financiële Markten (AFM) lijkt er trouwens een andere mening op na te houden dan het KiFid, dit schreef de AFM mij:

    De informatieverstrekking aan cliënten mag (onder voorwaarden) digitaal en bijvoorbeeld via een app plaatsvinden. Een bank kan een klant niet verplichten tot het kopen van een andere smartphone. Daarnaast is van belang dat de relatie tussen banken en hun cliënten wordt beheerst door de eisen van de ‘redelijkheid en billijkheid’. Het gaat dan om de civiele verhouding tussen de cliënten en de bank. Een bank moet zich ‘redelijk en billijk’ gedragen bij de uitvoering van de overeenkomst tussen de cliënt en de bank. Het alleen informatie bieden via een (nieuwe) smartphone, zonder bijvoorbeeld het bieden van een alternatief aan de cliënt, lijkt niet redelijk richting een cliënt.

    • Je moet de app van een bank tot op zekere hoogte zien als een agent van de bank — de bank wil er op kunnen vertrouwen dat die app doet wat de bank wil dat hij doet, zowel in het belang van de bank en van de klant — dat betekent dat de app noodgedwongen meelift op de beveiliging van het OS (van Android of Apple), en dat is voor een deel “security through obscurity” en voor een deel geholpen door de speciale hardware die aanwezig is op die devices. Als je nu willekeurige alternatieve (open source) platforms gaat toestaan, waar security through obscurity niet echt werkt, en je niet weet of die speciale hardware echt is of geemuleerd, dan heb je een probleem dat het te makkelijk wordt de app te manipuleren. Om dezelfde reden zul je (stukken van) de app zelf nooit open source willen maken, en de stukken waar dat wel mee kan zijn meestal niet de meest interessante. Merk op dat het een continue wapenwedloop is tussen de app-makers en de personen die graag willen frauderen, bijvoorbeeld met overlay attacks, waardoor je ziet en denkt dat je een klein bedrag naar A stuurt, maar er in werkelijkheid een groot bedrag naar B wordt gestuurd.

      Het enige alternatief is terugvallen op die ouderwetse “agent” van de bank, het gesloten kastje dat authorisatie-codes genereerd, maar dat is kostbaar (voor de bank) en onhandig (voor de gebruiker).

      • Onhandig lijkt miij een subjectieve mening. Ik heb liever het onhandige gesloten kastje en beheers mijn eigen omgeving. Ook de kostbaarheid voor de bank is relatief indien afgezet tegenover de zorgplicht van de bank richting haar klanten, welke hoger zou moeten gaan dan de aandeelwaarde van de bank. Bovendien, banken belasten toch alle kosten met winstopslag gewoon door (= transactiegebonden tarifering)!?

        • Dus stel nog 500 klanten willen nog zo’n kastje en het bijhouden van de benodigde infrastructuur kost 1.000.000 op jaarbasis, dan ben jij bereid daarvoor 2000 per jaar te betalen? Dat is de business-case van banken: de meeste klanten hebben liever een goede app of nog liever een betaal-functie in hun smartwatch, en wisselen daarvoor van bank. Heel weinig mensen switchen van bank omdat ze zo gehecht zijn aan dat kastje.

          • Stel de Rabobank heeft 3 miljoen klanten; en stel de infrastructuur kost € 1 M; dan zijn de kosten slechts € 0,33 Aangezien de 5 grootbanken meer dan 90% van de Nederlandse marktassets in handen hebben (https://www.banken.nl/bankensector/marktaandeel) schat ik in dat de kosten nog wel lager kunnen liggen. Op 06.10.2020 (bron: https://vanallesovergeldzaken.nl/bank-met-meeste-klanten/) zou de Rabobank zo’n 8 M particuliere – en 800 K zakelijk klanten hebben; de ING 7,9 M particuliere – en 600 K zakelijke klanten, terwijl de ABN AMRO volgt met 5 M klanten. Tel deze klanten bij elkaar op en je komt op 22,3 klanten in totaal. Conclusie er zijn veel klanten met rekeningen bij verschillende banken. Dus neem nog eens de € 1 M infrastructuurkosten en een ongekende samenwerking van banken in betaalkastjes (net zoals bij de Betaalmaat) dan zijn de kosten € 0,0448

            Maar eigenlijk is dit m.i. niet de discussie waar het omgaat, die luidt: “Mag een bank – met haar zorgplicht – een klant dwingen een voor de bank winstgevender betaalstructuur opleggen, terwijl het kastje veilig is!?” Daarbij is het argument dat de meesten klanten vragen om een goede APP of een betaalfunctie in de ‘smart watch’ (beide door banken gegarandeerd hack vrij?) een vanuit het ‘businessmodel’ wensdenken; zo niet op zijn minst – voor zo ver ik weet – een niet onderzochte aanname. Daarbij is zelfs een onderzoek onder 10.000 klanten (tegenover 22,3 M) niet relevant (0,00045 procent).

            • Nu moet ik met mijn achtergrond in de statistiek toch even ingrijpen, een representatieve steekproef van 10.000 klanten kan prima tot significante en dus relevante resultaten leiden.

              Natuurlijk kan er veel misgaan; je zou je uitvraag via WhatsApp kunnen doen, waarbij al je respondenten gegarandeerd een smartphone hebben. Of via de bank app op een telefoon, waarbij je niet alleen de mensen hebt die een smartphone hebben, maar die zelfs de app al gebruiken.

            • Er zijn een paar dingen mis in deze redenatie: ten eerste: waarom zouden klanten die zo’n kastje niet willen gebruiken er wel voor moeten betalen. De kosten moeten toch echt door de mensen gedragen worden die het ten goede komt. Banken moeten concurreeren om hun klanten, en het betalingsverkeer is nou niet echt het onderdeel waar ze meeste mee verdienen. Dus als een bank zegt, wij doen niet mee met die dure kastjes, dan kan die een goedkoper product aanbieden, en snoept die klanten weg bij de anderen.

              Daarnaast, niemand kan hack vrij garanderen. Het is een afweging tussen een heel aantal factoren, waarbij alle banken op een gegeven moment een rest-risico accepteren, en in voorkomende gevallen fraude gewoon vergoeden (omdat dat goedkoper is dan dat allerlaatste lek dicht te timmeren). Dat kun je met statistiek prima uitrekenen.

              Elroy heeft al aangegeven dat een onderzoek onder 10.000 klanten prima relevant kan zijn.

              • @ Elroy Dank voor jouw aanvulling, zowel wat betreft de mogelijke representativiteit alsook wat er eventueel fout kan gaan.

                @Jeroen Iedereen betaalt al mee aan de kastjes, banken doen niets voor niets. De vraag blijft een morele; waarom een kastje vervangen voor andere technologie, terwijl het werkt en deze methodiek veiliger is!? Zou wel eens willen weten wat de maatschappelijke kosten zijn voor de vervanging van deze betalingsmethodieken. Misschien is mijn echte vraag: “Gaat het bancaire ‘business model’ boven de klantwens c.q. -belang?” oftewel misschien is genoeg … inderdaad genoeg … voor de bank t.a.v. de winst en voor de klant m.b.t. de eeuwige drang vooruit naar ‘innovatieve’ technologieën. Iets waar de klant niet altijd om vraagt en die datamaatschappij en -handel vooruit drijft met juist die klant als data-eenheid en niet als zelfstandig, oordelend en besluitend mens. Dat is eigenlijk mij grootste probleem met dit alles; mijn vrijheid wordt afgenomen.

                • Banken mogen uiteindelijk zelf besluiten dat ze die lastige klanten die met een kastje willen werken liever niet willen hebben.

                  Maar het is niet correct dat ze dat op een veiligheidsargument gooien, terwijl het eigenlijk een kostenargument is, en dan ook nog eens de (objectieve of subjectieve) privacyzorgen van klanten negeren.

              • “Waarom zouden klanten die zo’n kastje niet willen gebruiken er wel voor moeten betalen.”

                Dat is inderdaad discutabel. Maar aan de andere kant: ik moet ook waterschapsbelasting betalen, óók als ik geen gebruik zou maken van de gemeentelijke waterleidingen. En bij nagenoeg alle providers moet je ook internet afnemen, óók als je alleen maar tv wilt kijken.

                Om maar even een paar voorbeelden te noemen…

                “Dus als een bank zegt, wij doen niet mee met die dure kastjes, dan kan die een goedkoper product aanbieden, en snoept die klanten weg bij de anderen.”

                Mijn huidige bank heeft die kastjes en is goedkoper dan Knab. En nee, mijn huidige bank is niet één van de grote spelers, dus ze zitten in hetzelfde schuitje als Knab. Je punt is dus ongegrond.

                “Elroy heeft al aangegeven dat een onderzoek onder 10.000 klanten prima relevant kan zijn.”

                Ja, onder 10.000 klanten van één bank, maar het ging C. de Vries om 10.000 klanten verspreid over verschillende banken.

      • Dus je zegt dat een Linux computer per definitie ongeschikt is om mee te bankieren. En dat de open source Corona app van de overheid ook onveilig is. Dat lijkt me een niet te verdedigen standpunt. Lees het Principe van Kerckhoffs er eens op na. Meeste cryptografen maken gehakt van de stelling dat “security through obscurity” iets wezenlijks toevoegt.

        Waar voor- en tegenstanders het wel over eens zijn is de commerciële waarde van “security through obscurity”, je sluit concurrentie uit, en daar loopt de bank nu tegenaan.

        Let wel de KiFiD uitspraak gaat over iemand die de app wel kan maar niet wil gebruiken. Ook de Knab bank zelf zegt dat ze klanten niet kunnen verplichten om een nieuwe smartphone te kopen. Hoe zich dat verhoudt tot een verplichte app en een klant die geen smartphone met Google Play Store of Apple Appstore heeft weet ik niet, maar elke simpele ziel zal zeggen, dan moet ik er toch een kopen wil ik kunnen blijven bankieren, als de bank geen app voor mijn huidige smartphone aanbiedt.

        Mogelijk kan een consultant, lobbyist of marketeer dat wel rechtlullen voor de bank, maar die worden er ook voor betaald.

        • Ja, daar komt het ongeveer op neer, met die kanttekening dat de Corona app misschien wel open source is, maar de keys waarmee deze is gesigned en in de app-store staat geen publiek gegeven zijn.

          Ik ben goed bekend met het Principe van Kerckhoff, en het uitgangspunt dat je bij een crypotografisch systeem ervan uit moet gaan dat alleen de sleutel geheim is. De praktijk is echter anders, en daar werkt security-through-obscurity heel redelijk. We zien het bij allerlei vormen van DRM, en we zien het in die zogenaamde secure containers in telefoons, geimplementeerd op hardened chips (en ook die oude kastjes vielen in die categorie: niet veel meer dan een random number generator met de seed ingebakken in een lastig te hacken chip). Theoretisch kun je die dingen (letterlijk) bevriezen, open etsen of met een laser afpellen, en dan de geheimen er uit plukken, in de praktijk heeft vrijwel niemand de zeer kostbare apparatuur om dat te doen. Daarnaast, geautomatiseerde code obfuscatie is standaard praktijk, en een hele kei die dan nog de boel weet te reverse-engineren. Ja, theoretisch kan het, net zoals je bij public key cryptography theoretisch de prive sleutel uit de publieke sleutel kunt vinden door even een paar getallen te ontbinden in priemfactoren, en het blijft een wapenwedloop waar je moet reageren op de acties van criminelen. In de praktijk kost het je tegenstander meer moeite dan alternatieve methoden om je buit binnen te halen, zoals social enginering of hem in een donkere hoek opwachten met een oversized moersleutel.

          • Signing keys zijn toch nooit publiek, wie wil dat?

            Punt is of open source software veilig kan zijn, het Principe van Kerckhoff zegt ja. Het is veilig zolang de sleutel geheim is, de rest mag openbaar zijn. Dat bedrijven DRM en allerlei andere vormen van security-through-obscurity in de praktijk gebruiken is goed te verklaren uit de commerciële belangen en niet zozeer vanuit het veiligheidsoogpunt (want Principe van Kerckhoff).

            (Los van het feit dat de quantum-computers in de toekomst de huidige beveiligingsalgoritmes kunnen kraken.)

            • Het punt van dat de signing keys niet public zijn, is dat je daarmee de schakel legt met het gesloten-source ecosysteem van Google of Apple, en daarmee de beveiliging dus alsnog op “security through obscurity” in verzegelde hardware is gebaseerd.

              Natuurlijk kan open source crypotografische software veilig zijn. Ik denk dat het zelfs een vereiste is om die veiligheid te kunnen constateren; Het probleem waar banking apps mee te maken hebben lijkt echter meer op DRM, en dat kan, als open source, nooit veilig gemaakt worden. (Want je wil dat de app iets kan doen, en om dat te kunnen doen heeft die de sleutels nodig, die moet je dus ergens in de app verstoppen.)

                • Er is een verschil tussen cryptografische software en software voor DRM. Die laatste soort kan niet open source zijn, want de sleutel moet ergens in de source verwerkt zijn, anders kan de software zijn taak niet uitvoeren. Banking apps hebben een vorm van DRM nodig om zichzelf tegen impersonisatie te beschermen.

                  F-droid werk met signing keys die niet publiek zijn, maar die keys hoeven niet publiek te zijn als voorwaarde om de software te laten werken: het gaat dan niet om DRM achtige toepassingen. Daarnaast streeft F-droid naar reproducable builds, waarmee je dus ook de binary kunt controleren in relatie tot de source.

    • Het gaat om het aanvalsmodel. Bij de corona-app is de aanval dat iemand een nep-QR code wil vertonen of een echte wil misbruiken. Daar zijn genoeg oplossingen voor, en daar heb je geen DRM of gesloten applicatie voor nodig.

      Bij een bankieren-app wil de aanvaller de gebruiker misleiden: die denkt 5 euro naar Giro 555 over te maken, maar hij kijkt naar een overlay-scherm bovenop de app en malware stuurt de input heen en weer, zodat de hele rekening naar een katvanger in Groningen overgemaakt wordt. Of de aanvaller steelt de credentials en gaat ermee aan de haal.

      Dit is niet in strijd met Kerckhoff maar een ander perspectief: hoe beveilig je met een 100% open source applicatie bovenop een 100% open OS de toegang tot een private sleutel? Als werkelijk alles kan worden gemanipuleerd en genept dan is dat volgens mij niet mogelijk. De praktische aanpak om dan de app maar closed source te maken bij wijze van hinder en om met DRM chips te werken om zo het OS te beveiligen vind ik dan een reële.

  12. Overlay is een permissie, dus niet elke app kan dat, en volgens mij kunnen apps ook tegenwoordig eisen dat het niet kan bij hun app.

    Malware in gesloten apps verpakken lijkt me toch een stuk makkelijker dan in een open source app, zeker met reproducable builds. Volgens mij zit er meer malware in de Google Play Store dan in F-Droid.

    En ik zou zeggen, de veronderstelling dat alles te neppen is vereist fysieke toegang tot die telefoon, of de medewerking van de eigenaar. Van afstand, of via te installeren apps met een juiste sandbox zou dat niet moeten kunnen bij een veilig open source systeem, dat is mijn idee.

    En ja een malafide OS zou dat dan misschien wel kunnen, maar we hebben het toch over een bonafide open source OS.

    Trouwens gingen de zorgen bij de Corona App niet voornamelijk over de privacy, of de overheid de burger niet kon volgen middels dataverkeer of locatie?

    • Bij een open source OS is het triviaal die permissie te negeren (door het OS aan te passen).

      Er zitten met aan zekerheid grenzende waarschijnlijkheid meer apps met malware in de Google Play Store, dan er in totaal in de F-Droid store apps zitten: de F-Droid collectie is een paar orde groottes kleiner.

      Neppen van de eigenaar om foute dingen te installeren is zo’n beetje de belangrijkste aanvalstaktiek van valse apps. Banken scannen continue op apps die rare dingen willen doen.

Laat een reactie achter

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren en <em> en <strong> voor italics en vet.

(verplicht)

Volg de reacties per RSS