Er is nooit een lek geweest in het digitale handtekeningensysteem van de overheid, DigiD. Dat stelt Ronald Plasterk, minister van Binnenlandse Zaken, in reactie op vragen van Tweede Kamerleden Mei Li Vos en Astrid Oosenbrug (beiden PvdA). De twee Kamerleden wilden van Pasterk opheldering over het DigiD-lek dat in oktober door tv-programma Opgelicht?! gemeld werd. Bij 24 gemeenten zouden eenvoudig te kraken standaard wachtwoorden gebruikt worden voor netwerkbeveiliging. Bij 12 gemeenten en 2 overheidsinstanties zou daardoor eenvoudig DigiD-accounts toegankelijk zijn. Logius, verantwoordelijk voor onder meer het beheer van DigiD, stelde dat voor zover bekend er nooit DigiD-accounts gehackt zijn. Het ging om een half miljoen tot één miljoen accounts.
Plasterk schrijft nu in zijn Kamerbrief dat er geen lek was. Wel kreeg Logius op 25 september van een softwareleverancier melding van een kwetsbaarheid in een specifieke versie van hun ContentManagementSysteem (CMS). Na onderzoek van Logius bleek bij 12 gemeenten de koppeling van het betreffende CMS met DigiD zodanig te zijn opgebouwd dat er een potentieel risico bestond dat DigiD misbruikt kon worden. Hackers zouden deze kwetsbaarheid hebben kunnen misbruiken om kwaadaardige software te plaatsen en daarmee in theorie de mogelijkheid hebben om allerlei gegevens en handelingen van bezoekers aan betreffende gemeentesites af te vangen.
Plasterk stelt dat het aan de gemeenten zelf was om te bepalen of ze naar buiten kwamen met dit nieuws en niet aan Logius, dat om die reden de namen van de betrokken gemeenten en andere overheidsinstanties niet heeft genoemd. De kwetsbaarheid werd op 18 september ontdekt, daarna is er bij alle betrokken partijen een patch toegepast om de kwetsbaarheid weg te halen.
Uit onderzoek bleek verder dat er nergens sprake zou zijn geweest van onregelmatigheden in DigiD-gebruik die aan een mogelijke hack te wijten zouden zijn. In de uitzending van Opgelicht?! werd verder gesteld dat DigiD gebruik zou maken van een certificaat dat niet zou voldoen aan de moderne beveiligingseisen. Plasterk noemt dit 'onjuist'. Het certificaat van DigiD maakt gebruik van het moderne en veilige algoritme SHA256 en niet zoals in de uitzending werd gesuggereerd het minder veilige SHA1 algoritme. Voor de minister vormen de gebeurtenissen geen reden om het decentrale beheer van digitale systemen te heroverwegen.
