Uit onderzoek van Publicroam bleek dat 78 procent van alle gemeenten gebruik maakt van wifi-oplossingen die niet veilig zijn, vertelt oprichter Paul Francissen. Daartoe zijn gemeenten ook niet verplicht. Forum Standaardisatie adviseert nu m daar wel voor te zorgen.
De wifiverbinding voor bezoekers bij gemeenten hoefde nog niet versleuteld te zijn, maar het Forum Standaardisatie adviseert om daar wel voor te zorgen. Veel gemeenten zouden nog gebruik maken van onveilige verbindingen. Deze aansporing moet daar verandering in brengen.
“78 procent van alle gemeenten gebruik maakt van wifi-oplossingen die niet veilig zijn.”
Het advies is om ook openbare wifi-netwerken voor gastgebruik ‘altijd op een veilige manier aan te bieden’, schrijft het Forum Standaardisatie. Het advies komt na een verzoek van Stichting Privacy First en Publicroam. Privacy First is verheugd met het advies: ‘Het Forum zegt in onze ogen dat we moeten stoppen met onveilige gastwifi.’
Uit eerder onderzoek van Publicroam bleek dat 78 procent van alle gemeenten gebruik maakt van wifi-oplossingen die niet veilig zijn, vertelt oprichter Paul Francissen. “Met wifi zijn we allemaal gewend dat als je een openbaar netwerk gebruikt, het niet veilig is. Iedereen ging ervan uit dat de verantwoordelijkheid lag bij de gebruiker zelf. Het unieke hieraan is dat het Forum zegt dat niet alleen de gebruiker verantwoordelijk is, maar ook de aanbieder.”
Bijzinnetje schrappen
Voorheen stond al in het advies van het Forum dat overheidsorganisaties moesten zorgen voor veilige wifi, maar dat gold alleen voor ambtenaren. Er werd apart vermeld dat de verplichting niet voor burgers gold. “Met de aanvraag wilden we vragen of dat bijzinnetje uit de verplichting kon worden geschrapt”, zegt Francissen, die vóór Publicroam al Govroam opzette (respectievelijk voor gasten en ambtenaren – Eduroam is er voor onderwijsinstellingen). “Ze vinden het een goed idee, maar het is geen verplichting. Het is een call to action voor overheidsorganisaties.”
Certificaten
Hoewel de open standaard WPA2 Enterprise daarvoor niet verplicht wordt, raadt Forum Standaardisatie wel aan om deze – of alternatieve oplossingen met een vergelijkbaar beveiligingsniveau – toe te passen in openbare WiFi-gastnetwerken. Behalve dat dit zorgt voor de versleuteling van de verstuurde informatie, werkt het met certificaten waardoor een apparaat de verbinding ook op andere locaties kan herkennen als veilig. Als iemand bijvoorbeeld een account heeft aangemaakt bij Publicroam in Amsterdam, maakt het apparaat er ook verbinding mee in Rotterdam.
Dit artikel werd ook gepubliceerd op BinnenlandsBestuur.nl
Gemeentelijk gast-wifi kan niet rekenen op betere beveiliging. Opvolgen van formeel advies voor WPA2-Enterprise is aan iedere gemeente voor zich.
Lees ook dit artikel op AGConnect
Het staat een beetje verstopt op de website van Publicroam, maar ondanks de suggestieve naam is dit geen liefdadigheidsinstelling: “Wij zijn Publicroam B.V., gevestigd in Zeist aan de Driebergseweg 2 en ingeschreven bij de Kamer van Koophandel op nummer 70318433.”
Het komt niet terug in het artikel, maar in het advies staat: “Bij deze aanbeveling doet het Forum Standaardisatie wel een oproep aan koepelorganisaties VNG (Realisatie), UvW, IPO en CIO Rijk om gezamenlijk duidelijke voorwaarden te formuleren waaraan leveranciers van authenticatiemechanismen voor WiFi-netwerken met WPA2 Enterprise moeten voldoen. Het gaat met name om afspraken over privacy, leveranciersonafhankelijkheid en interoperabiliteit.”
Voor de interpretatie van de oproep uit het advies, over het maken van afspraken, is het goed om te weten dat Publicroam B.V. een commerciële roaming dienstverlener is, die baat heeft bij een verplichting (en bij berichtgeving die een verplichting suggereert), en profiteert van een netwerkeffect: hoe meer overheden aansluiten, hoe interessanter het wordt voor andere overheden om dan ook maar Publicroam abonnementen af te sluiten (want dan hoeven burgers/bezoekers niet voor ieder wifi netwerk een nieuw WiFi-account aan te maken).
De overheid moet denk ik oppassen dat zij niet onbedoeld een monopolie en vendor lock-in in de hand werkt, door massaal bij dezelfde commerciële dienstverlener openbare WiFi-dienstverlening af te nemen.