Identity provider
Stel je moet bij tien verschillende gebouwen naar binnen: je werk, de sportschool, de bibliotheek, de gemeente. Zonder identity provider zou je bij elke deur een apart pasje met eigen pincode nodig hebben. Een identity provider werkt als één centrale receptie die je identiteit controleert en vervolgens aan alle andere gebouwen doorgeeft: "deze persoon is wie hij zegt te zijn, laat hem door." Je hoeft dan nog maar bij één loket te bewijzen wie je bent.
In de digitale wereld heet die receptie een identity provider, vaak afgekort tot IdP. In Nederland is DigiD daar het bekendste voorbeeld van: log je in bij DigiD, dan kun je daarna bij de Belastingdienst, je gemeente en talloze andere overheidsdiensten terecht zonder opnieuw een wachtwoord te bedenken. Diezelfde logica zie je terug bij "inloggen met Google" op allerlei websites en apps. Eén partij regelt de controle, andere diensten vertrouwen op die uitkomst.
Wat is het precies?
Om te begrijpen wat een identity provider doet, is het handig twee begrippen uit elkaar te houden: authenticatie en autorisatie. Authenticatie is het bewijzen wie je bent, bijvoorbeeld met een wachtwoord of vingerafdruk. Autorisatie bepaalt vervolgens wat je mag doen of zien, zoals toegang tot je eigen dossier maar niet dat van een ander. Een identity provider is primair verantwoordelijk voor die eerste stap: de authenticatie.
Het systeem waarbij je met één inlogmoment bij meerdere diensten terechtkunt, heet single sign-on, afgekort SSO. Werkt het goed, dan verloopt dat ongeveer zo: je opent een dienst (bijvoorbeeld een webapp van je werkgever), die dienst stuurt je door naar de identity provider, je logt daar in, en de identity provider stuurt je terug naar de oorspronkelijke dienst met een digitaal "bewijsje" dat je geverifieerd bent. Die oorspronkelijke dienst heet in vaktaal de relying party: de partij die vertrouwt op het oordeel van de identity provider in plaats van zelf een wachtwoorddatabase bij te houden.
Dat bewijsje is meestal een token: een klein, digitaal ondertekend bestandje met gegevens over jouw identiteit en de geldigheidsduur ervan. Er bestaan verschillende typen, zoals een ID-token (bevat wie je bent) en een access-token (bevat wat je mag). Omdat het token digitaal ondertekend is door de identity provider, kan de relying party controleren dat het echt is en niet vervalst.
Deze uitwisseling verloopt via afgesproken technische standaarden, zodat verschillende systemen elkaar begrijpen. De oudste veelgebruikte standaard is SAML 2.0 uit 2005, vooral populair in zakelijke omgevingen. Later kwam OAuth 2.0, vastgelegd in het technische document RFC 6749 uit 2012, dat eigenlijk bedoeld is voor autorisatie: het regelt bijvoorbeeld dat een app toegang krijgt tot je foto's zonder je wachtwoord te hoeven kennen. Omdat authenticatie en autorisatie in de praktijk vaak samen nodig zijn, kwam er in 2014 een laag bovenop OAuth 2.0 die specifiek over authenticatie gaat: OpenID Connect. Dat is tegenwoordig de meest gebruikte standaard voor "inloggen met"-knoppen.
Wanneer meerdere organisaties afspreken elkaars identiteitscontroles te vertrouwen, spreekt men van federatie. Een universiteit kan bijvoorbeeld haar studentenlogin laten gelden bij bibliotheken van andere universiteiten, zonder dat elke bibliotheek een eigen ledenadministratie hoeft bij te houden. Federatie is in feite SSO opgeschaald naar meerdere onafhankelijke organisaties.
Wat wil men ermee bereiken?
De belangrijkste belofte van een identity provider is gebruiksgemak: één set inloggegevens in plaats van tientallen. Dat klinkt klein, maar vermindert een reëel probleem dat wachtwoordmoeheid heet, waarbij mensen uit gemak overal hetzelfde (zwakke) wachtwoord gebruiken. Minder wachtwoorden om te onthouden betekent minder hergebruik en dus minder risico dat één datalek meteen meerdere accounts kwetsbaar maakt.
Daarnaast biedt centralisatie beveiligingsvoordelen. In plaats van dat elke afzonderlijke dienst zelf multifactor-authenticatie (MFA, waarbij je naast een wachtwoord ook bijvoorbeeld een code uit een app nodig hebt) moet implementeren, kan dat op één centrale plek geregeld worden voor alle aangesloten diensten tegelijk.
Voor organisaties is er ook een praktisch beheervoordeel. Als een medewerker uit dienst treedt, kan de toegang tot alle gekoppelde systemen in één keer worden ingetrokken via de identity provider, in plaats van dat iemand langs tientallen losse systemen moet om accounts handmatig te verwijderen. Dit proces heet provisioning (toegang toekennen) en deprovisioning (toegang intrekken).
Op een hoger niveau is er de ambitie om digitale identiteit te laten functioneren als basisinfrastructuur voor de digitale samenleving en economie, vergelijkbaar met hoe een paspoort of rijbewijs in de fysieke wereld werkt: één betrouwbaar identiteitsbewijs dat overal herkend en vertrouwd wordt, van overheidsdiensten tot bankzaken.
Voorbeelden uit de praktijk
DigiD is in Nederland het bekendste voorbeeld van een identity provider voor burgers. Het systeem bestaat sinds 2005 en wordt beheerd door Logius, een uitvoeringsorganisatie van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties. Via DigiD loggen Nederlanders in bij de Belastingdienst, hun gemeente, zorgverzekeraars en talloze andere organisaties.
Voor bedrijven bestaat een vergelijkbaar stelsel: eHerkenning, in gebruik sinds ongeveer 2010, waarmee ondernemers namens hun bedrijf kunnen inloggen bij overheidsdiensten. Anders dan DigiD wordt eHerkenning niet direct door de overheid uitgegeven, maar door erkende private aanbieders binnen een door de overheid vastgesteld stelsel.
Wereldwijd zeer bekend is social login: de "inloggen met Google", "inloggen met Apple" of "inloggen met Facebook"-knoppen die je op talloze websites en apps tegenkomt. Deze zijn technisch gebouwd op OAuth 2.0 en OpenID Connect, en maken van deze grote techbedrijven de facto identity providers voor miljoenen websites van derden.
In de zakelijke wereld is Microsoft Entra ID, voorheen Azure Active Directory geheten, een van de meest gebruikte identity providers. Het regelt de toegang van medewerkers tot bedrijfsapplicaties bij een groot aantal organisaties wereldwijd. Daarnaast bestaan er gespecialiseerde commerciële aanbieders zoals Okta en Ping Identity, die identity-provider-diensten leveren aan bedrijven die dit liever niet zelf bouwen.
Hoe ver is de techniek?
De kernprotocollen achter identity providers zijn inmiddels volwassen technologie. SAML, OAuth 2.0 en OpenID Connect worden al jarenlang breed toegepast en zijn vastgelegd in open standaarden, beheerd door organisaties als OASIS, de IETF (Internet Engineering Task Force) en de OpenID Foundation. Dit is geen experimentele techniek meer, maar de ruggengraat van vrijwel elk moderne inlogsysteem.
Wel is er beweging op het gebied van wachtwoordloos inloggen. De FIDO2/WebAuthn-standaard, gepubliceerd door het World Wide Web Consortium (W3C) in 2019, maakt het mogelijk om in te loggen met zogeheten passkeys: cryptografische sleutels die op je telefoon of computer staan in plaats van een wachtwoord dat je moet onthouden. Apple, Google en Microsoft zijn sinds 2022 en 2023 bezig deze techniek breed uit te rollen in hun besturingssystemen en diensten.
Op Europees niveau is de herziene eIDAS-verordening (eIDAS 2.0), die in 2024 in werking is getreden, een belangrijke ontwikkeling. Deze regelgeving legt de juridische basis voor de European Digital Identity Wallet: een EU-brede digitale identiteitsportemonnee waarmee burgers zich in principe bij diensten in alle lidstaten zouden moeten kunnen identificeren. Lidstaten zijn verplicht uiterlijk eind 2026 zo'n wallet aan hun burgers aan te bieden. De praktische uitrol bevindt zich echter nog grotendeels in de pilot- en testfase, met grootschalige proeven in verschillende lidstaten, en het is nog onzeker hoe soepel en snel de daadwerkelijke, brede invoering zal verlopen.
Er zijn ook aanhoudende obstakels. Interoperabiliteit tussen verschillende nationale en sectorale identiteitsstelsels blijft lastig, ondanks standaardisatie. SSO kent bovendien een keerzijde: omdat één account toegang geeft tot meerdere diensten, is een gekaapt account bij een identity provider potentieel schadelijker dan een los wachtwoord dat wordt buitgemaakt. Ook zijn er terugkerende privacyzorgen over het centraliseren van identiteitsgegevens bij één partij, zeker wanneer die partij een winstgericht techbedrijf is dat mogelijk ook inzicht krijgt in bij welke diensten je inlogt.
Wie werken eraan?
Het veld van identity providers kent zowel private als publieke spelers. Grote techbedrijven als Microsoft, Google en Apple bieden zelf identity-provider-diensten aan, zowel voor consumenten (social login) als voor bedrijven (zoals Microsoft Entra ID). Gespecialiseerde bedrijven als Okta, Ping Identity en Auth0 (onderdeel van Okta) richten zich specifiek op identity-en-toegangsbeheer als kerndienst voor andere organisaties.
De technische standaarden worden beheerd door non-profitorganisaties en standaardisatiegremia: de OpenID Foundation voor OpenID Connect, de IETF voor OAuth 2.0, OASIS voor SAML, en het W3C samen met de FIDO Alliance voor WebAuthn en passkeys. Deze organisaties brengen bedrijven, onderzoekers en overheden samen om afspraken te maken die iedereen kan gebruiken.
Op overheidsniveau speelt de Europese Commissie een centrale rol via de eIDAS-verordening en de ontwikkeling van de European Digital Identity Wallet. In Nederland is Logius, onderdeel van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties, verantwoordelijk voor DigiD. Dit maakt digitale identiteit een terrein waarin internationale techbedrijven, standaardisatie-instituten en overheden tegelijk samenwerken en soms met elkaar concurreren om de manier waarop mensen zich online identificeren te bepalen.