Open Id Security ITsec

ITsec Security Services BV 112 mei 2009

OpenID,net zo veilig als DigiD?

Ir. Christiaan J. Roselaar

Ceo/co-founder ITsec Security Services bv


Wie kwamen er vandaag met de auto?


Veilig bestaat niet!


Even voorstellen

Christiaan J. Roselaar Ceo/co-founder ITsec Security Services de “pentest-professionals” financials, telecom

When IT(-security) matters


Agenda

Beveiliging in een perspectief Hoe werkt OpenID? Protocolrisico’s Implementatierisico’s Net zo veilig als DigiD? Conclusie


Welke risico’s zijn er?

En ben je bereid die te accepteren?


Welke maatregelen?

Restrisico’s benoemen en accepteren Balans tussen waarde/maatregelen,

risico’s en restrisico’s


Rationeel?


Hoe werkt OpenID?


Protocol-issues OpenID

Geen authenticatie tijdens registratie Geen trust-infrastructuur Hergebruik van mijn OpenID?! Privacy-issues (Google) Afhankelijkheid van IdP (24*7..) Gevoelig voor Phishing


Implementatierisico’s

Kwaliteit @ IdP In(secure) storage? In(secure) programming? Patch & vuln. Management? Procedures? Screening?

Kwaliteit @ SP Dito ..


OpenID en beveiliging

Primaire driver: gemak Voor zaken van geen of weinig waarde

waarde of Voor zaken waar “merchant” én client

bereid zijn het risico te nemen


En DigiD dan?

Live-demo


Samenvatting

Veel toepassingsmogelijkheden OpenID

Maar: 100% veilig bestaat niet Niets is spontaan veilig.. Plan-do-check-act!


Dank voor uw aandacht

Ir. C.J. Roselaar

[email protected]

http://www.itsec.nl

mailto:[email protected]

Open Id Security ITsec

Technology

itsec security services

security matters12 mei

risicos en restrisicos

en digid dan

spontaan veilig

veilig bestaat niet

en ben je bereid

te accepteren