eID PUK procedure veranderd?

[ITnetadmin]

Ik krijg op FB net te horen van mensen dat ze hun eID PIN code kunnen resetten door gewoon naar het gemeentehuis te gaan.
Een PUK code hebben ze daarbij niet nodig.

Zoals velen hier wel zullen weten, is de eID PIN code reset is beveiligd met een 12 cijferige PUK code.
Jij krijgt 6 cijfers mee in je brief waarin ook je PIN code staat, en de terminal die de reset uitvoert haalt de andere 6 op uit de database van het rijksregister.

Nu blijkt dat mensen zeggen hun code gereset te hebben door gewoon naar het gemeentehuis te gaan en zonder enige info of code kon men daar de PIN code resetten.

Is die procedure veranderd zonder dat ik van iets wist?

Want dit is een serieuze security breach. Mijn private key op mijn eID dient om signatures te genereren (non-repudiation) en de ganse beveiliging daarvan stoelt op het principe dat *enkel ik* de user helft van mijn PUK code in bezit heb.

Als blijkt dat gemeentehuizen "voor het gemak" een kopie van die code zouden bijhouden, vind ik dat een serieus probleem.

[heist_175]

https://eid.belgium.be/nl/over-de-eid-kaart#7535
Wat als ik mijn pincode niet meer weet?
Bent u uw pincode kwijt of vergeten, of werd uw kaart geblokkeerd nadat u drie keer na elkaar de verkeerde code hebt ingegeven? Dan kan u enkel een nieuwe pincode krijgen bij uw gemeentebestuur.

Om een nieuwe code te krijgen, gaat u naar uw stad- of gemeentehuis met uw eID en de brief met codes die u kreeg voordat u uw eID bent gaan afhalen. Voor meer informatie kan u terecht op de website van de Federale Overheid Binnenlandse Zaken.

Hebt u geen pincode meer? Dan kan u een herdruk aanvragen bij uw gemeentebestuur of via deze website. De codes worden dan binnen de 15 dagen opgestuurd naar uw gemeentebestuur.

Wat als ik mijn pukcode niet meer weet?
Bent u uw pukcode kwijt of vergeten, of werd uw kaart geblokkeerd nadat u drie keer na elkaar de verkeerde code hebt ingegeven? Dan kan u enkel een nieuwe pukcode krijgen bij uw gemeentebestuur.

Om een nieuwe code te krijgen, gaat u naar uw stad- of gemeentehuis met uw eID en de brief met codes (die u kreeg voordat u uw eID bent gaan afhalen). Voor meer informatie kan u terecht op de website van de Federale Overheid Binnenlandse Zaken.

Hebt u geen pukcode meer? Dan kan u een herdruk aanvragen bij uw gemeentebestuur of via deze website. De codes worden dan binnen de 15 dagen opgestuurd naar uw gemeentebestuur.

[cadsite]

't Is al efkes geleden dat ik mijn madam naar 't stadhuis heb gestuurd voor haar PIN, maar ik denk inderdaad dat dat ging zonder de PUK.
Ik zou niet weten waar mijn PUK is trouwens. Staat dat op hetzelfde bladje als de PIN?

[raf1]

De nieuwe codes komen na een (online) aanvraag van de burger via de post toe op het gemeentehuis en je kan via e-mail verwittigd worden dat je nieuwe codes beschikbaar zijn op het gemeentehuis.
Daarna kan een overijverige gemeenteambtenaar wanneer jij jouw eID afgegeven hebt, inderdaad voor jou de brief openen en de codes invoeren op de kaartlezer. Maar in principe moet de burger dat zelf doen.

Een malafide ambtenaar zou de brieven met codes op voorhand kunnen openen en de codes zelf bijhouden in een lokaal Excel-bestand, maar dat is onwettelijk en een zware beroepsfout.

De procedure is zeker niet veranderd, wat wel kan is dat je via e-mail verwittigd wordt wanneer je naar het gemeentehuis moet komen om de procedure uit te voeren.

[boonpwnz]

Ik zou niet weten waar mijn PUK is trouwens. Staat dat op hetzelfde bladje als de PIN?

Ja dat staat daarop

[cadsite]

Dan ben ik ni goed bezig.
De reservesleutel hangt dus mee aan de sleutelbos.

[boonpwnz]

De reservesleutel hangt dus mee aan de sleutelbos.

Bij de aanvraag van uw eID krijgt u een brief met een pincode en een pukcode. Bij het afhalen van uw eID in het gemeentehuis, kunt u uw pincode wijzigen.

Kent u uw pincode niet meer of wilt u uw pincode deblokkeren (drie keer een foute code ingegeven), dan kunt u met uw pukcode (brief) op het gemeentehuis een nieuwe pincode aanmaken.

[ITnetadmin]

Dan ben ik ni goed bezig.
De reservesleutel hangt dus mee aan de sleutelbos.

Niet helemaal, voor 2 redenen.
1) Je wordt altijd gevraagd (en het is aangeraden) om je PIN te wijzigen bij activatie van je kaart
2) Je krijgt een 6 cijferige PUK code, maar de PUK code heeft eigenlijk 12 cijfers; de overige 6 zitten in een database van (naart schijnt) het rijksregister.

Je hebt dus eigenlijk maar de halve achterdeursleutel, en de voordeursleutel had je moeten vervangen

Ik blijf het hallucinant vinden dat je de PUK code kan laten wijzigen.
Dit is gewoon gedaan voor gebruiksgemak, en we weten allemaal dat beveiling en gebruiksgemak mekaars tegengestelden zijn.
Een verloren PUKcode moet eigenlijk leiden tot een nieuwe kaart.
Laat staan dat de nieuwe PUK naar het gemeentehuis wordt gestuurd.
Dit brengt heel de non-repudiation van je private key in gevaar.

[cadsite]

Die PUK zou er gewoon niet mogen zijn. Dat kan perfect met een vingerafdruk.
Maar dan zitten we weer op een ander spoor natuurlijk.

[MClaeys]

Ik heb die brief nooit bijgehouden, bij afhaling heb ik altikd meteen mijn PIN gewijzigd en dat onthoud ik wel, kon je vroeger niet via de EID yool je pin wijzigen?

[ubremoved_539]

Dat kan je nog steeds.

[MClaeys]

Dan zie ik het probleem niet echt. Ik vind het altijd raar als mijn ouders bij het invullen van de belastingen met hun briefje afkomen met hun pincode, omdat ze deze niet weten. Zelfde met mijn vrouw, vrijdag naar de dienst bevolking om het adres op de pas aan te passen, haar papier ligt al klaar

[fvhbrugge]

Werking pincode en pukcode is hetzelfde als met simkaart van gsm.
Helemaal identiek