Over de nieuwe Nederlandse CA: Uniq-ID

--- Over de nieuwe Nederlandse CA: Uniq-ID

-- Introductie

De directeur van deze nieuwe CA is dhr. F. (Frans) Bolk. Dhr. Bolk is al eens eerder in het nieuws geweest. Zo schreef hij in het PvIB magazine #5 van 2014 een opiniestuk, waarin hij zich kritisch uitliet over Open Source Software in het algemeen en OpenSSL in het bijzonder. Dhr. Bolk deed dit in het kader van de (destijds actuele) Heartbleed-bug. Dit was een vrij doorzichte poging om Fear, Uncertainty en Doubt (FUD) te zaaien rond Open Source (beveiligings)software. Eén en ander is na te lezen in de uitgave: https://www.pvib.nl/download/?id=17699875&download=1. Het duurde niet lang voordat daar een kritische reactie op kwam door sympathisanten van de Open Source beweging. Deze reactie was eveneens te lezen in het PvIB magazine in een latere uitgave van dat jaar: https://www.pvib.nl/download/?id=17701424&download=1.

Dhr. Bolk heeft besloten door te gaan en heeft een nieuwe Nederlandse CA opgezet: http://www.oid-info.com/get/1.3.6.1.4.1.44753. Dinsdag 2 juni jl. verscheen hierover een persbericht op de website van vakblad Computable: http://www.computable.nl/artikel/nieuws/security/5402767/1276896/na-diginotarhack-heeft-nederland-weer-ca.html. Nieuwe Certificate Authorities verschijnen niet iedere dag, dus dat trekt begrijpelijkerwijs de aandacht van media, bedrijven en anderen. Dus: wat is Uniq-ID, wie is dhr. Bolk en wie en wat zijn er nog meer betrokken bij deze nieuwe, 'unieke' CA? Eens zien met wie en wat u te maken heeft!

N.B.: de lezers worden er nadrukkelijk op gewezen dat het hier in alle gevallen om publieke, vrij opvraagbare informatie gaat, die met handige Google zoekopdrachten zelf eenvoudig is terug te vinden. De relevante links staan zo veel mogelijk bij de data.

-- Over dhr. Bolk

CV en overige personalia

·         LinkedIn profiel: https://nl.linkedin.com/in/fransbolk
·         Yatedo profiel: http://www.yatedo.com/p/Frans+Bolk/normal/5f5d8467d67c127798cd18fc5702fd1a
·         ZoomInfo profiel: http://www.zoominfo.com/p/Frans-Bolk/745167047
·         Twitter profiel: https://twitter.com/fbolk
·         Youtube kanaal: https://www.youtube.com/channel/UCQ6L2pD39BdSyXVyd_rhiRg

Opleidingen

·         1967-1971 Werktuigkunde - LTS - Werktuigkunde
·         1971-1975 Elektrotechniek - MTS - Elektrotechniek
·         1975-1979 Informatica - HTS - Informatica
·         2000-2001 Leadership - Leader Academy

Werk

·         1983-1990 Sales - Siemens
·         1990-1994 Named Account Manager - Raet
·         1994-1996 Account Manager - Syllogic
·         1996-1998 Executive VP - Carleton Europe, later Oracle
·         1996-1999 Active member - VSB - Studiegroep Business Intelligence
·         1998-2000 Business Unit Manager - TAS Groep
·         1999-.... CEO and owner Businesense Beheer BV
·         1998-2000 Solution Center Manager - TAS Informatica
·         2000-2003 Service Unit Director - PinkRoccade
·         2001-2003 Director Business Development - Freebirds
·         2001-2007 Voorzitter - Keytown Hitters Honkbalvereniging
·         2003-2003 ICT Auditor - Private & Government HealthCare Organizations
·         2003-2004 Interim Business Unit Manager - Private & Government HealthCare Organizations
·         2004-2004 Business Unit Manager - Oracle
·         2004-2005 Director Business Development - Ikan Software
·         2005-2008 Director Business Development - KuBoSport
·         onbekend  Chief Executive Officer - KuboVest
·         2007-2009 Founder and CEO - The Performance Center
·         2008-2010 Adviseur - Gemeente Haarlem
·         2008-2009 Projectmanager - KPN
·         2009-.... Founder and CEO - QPaZz
·         2012-.... CEO - BioSQR BV
·         2013-.... CEO - UniQ-ID
·         2013-.... Voorzitter - Skate and Create

Opvallende zaken naar aanleiding van het bovenstaande:

    In 2007 was dhr. Bolk betrokken bij de affaire "onplezierig zakendoen" bij de gemeente Leiden. Het ging hier om een evenementenhal/ijsbaan: http://gemeente.leiden.nl/nc/bestuur/college-van-b-en-w/besluiten/actie/file/datum/24042007/bestand/1003497/type/word/shash/c089bbef/, http://www.sleutelstad.nl/nieuws/archief/2007/04/cda-wil-opheldering-over-mislopen-investering-50-miljoen

    In 2008 kwam dhr. Bolk in het nieuws, dit maal in het kader van het mislukte project rond het onderwaterhotel Eindhoven "Centro Casa": http://www.omroepbrabant.nl/?audio/20467732/Frank+Bolk+van+projectontwikkelaar+KuBoSport.aspx, http://www.ed.nl/regio/eindhoven/geldcrisis-dwarsboomt-plan-onderwaterhotel-1.2369281


Het uitgebreide CV getuigt van een fraaie carrière, maar lijkt wel te wijzen op een 'jobhopper' met excentrieke projecten.

-- KvK-inschrijvingen

Hoe zou het met de KvK-inschrijvingen zitten? Dhr. Bolk lijkt bewindvoerder te zijn van een groot aantal BV's. Daarnaast is hij direct in verband te brengen met een flink aantal andere BV's.

De volgende BV's, waar dhr. Bolk CEO van is, staan geregistreerd op de Pelmersheideweg 16, Weert en hebben opvallende KvK- en telefoonnummers:

·         Uniq-ID BV (KvK 12062057, Tel: 0495-566355, Fax: 0495-561847)
·         Smart Entry (KvK 12062057, Tel: 0495-566355, Fax: 0495-561847)
·         UniQ-CA BV (KvK 60774118, Tel: 0495-566355, Fax: 0495-561847)

De overige BV's van dhr. Bolk staan geregistreerd in Leiden en Maastricht. Hij is oprichter, directeur, eigenaar of voorzitter van de volgende BV's op Takwier 17, Leiden:

·         QPazz Holding BV (KvK 56872674, Tel: 06-23515290)
·         BioSQR BV (KvK 56875525, Tel: 06-23515290). BioSQR heeft geen website, maar lijkt een 'produkt' te zijn op http://www.qpazz.org
·         Businesense Holding (KvK 28074069, Tel: 071-5235284), met hetzelfde KvK nummer als de QPazz nevenvestiging
·         Stichting Skate & Create (KvK 57917434), waarschijnlijk ten behoeve van de BV 'Pro Skaters' (KvK 53965574, Tel: 071-5235563) en toebehorend aan een familielid

Op dit adres in Leiden bevinden zich ook Absolute-ICT en The Performance Center, maar de eigenaar etc. hiervan zijn onbekend. Deze informatie is o.a. terug te vinden via http://www.opencompanies.nl/overig-businesense-beheer-bv-leiden-28074069.

Dan is er nog het adres Mergelweg 332, Maastricht, waar een nevenvestiging van QPazz staat geregistreerd (KvK 28074069, Tel: 06-23515290). Dit is hetzelfde KvK-nummer als Businesense, maar nog opvallender: het is tevens de locatie van Café den Dolhaart (KvK 14603013, Tel: 043-3219031).

-- Partners en overige BV's

Zou Uniq-ID dus co-locaties bij horecagelegenheden aan het plannen zijn? Het roept wel de vraag op met welke partijen er wordt samengewerkt.

Een steeds terugkerende naam hierbij lijkt die van Will Kamminga te zijn, die de eigen BV's -opvallend genoeg- bij Dhr. Bolk in Weert lijkt te huisvesten: https://nl.linkedin.com/in/willkamminga

Dhr. Kamminga is Founder/shareholder van de volgende BV's op de Pelmersheideweg 16, Weert:
·         Eurisko Nederland BV (KvK 13041103, Tel: 0495-562371, 0495-566110, Fax: 0495-561847)
·         Eurisko Netwerk Beheer BV (KvK 13040349, Tel: 0495-566110, Fax: 0495-561847)
·         Eurisko ICT BV (KvK 12041573, Tel: 0900-3874756, 0495-566110)

Deze BV's hebben allen dezelfde telefoonnummers als de BV's van dhr. Bolk. Eurisko is inmiddels overgenomen door PerCom Weert, het domein eurisko.nl staat nu geregistreerd (geparkeerd) bij Flex Webhosting.

Dhr. Kamminga is CEO van de volgende BV's op dit adres:
·         Kamminga Netwerk Services BV (KvK 13041102, Tel: 0495-562371, Fax: 0495-561847)
·         Kamminga Netwerk Diensten (KvK 13034318, Tel: 0495-562371, Fax: 0495-561847)
·         Kamminga Holding BV (KvK 13041101, Tel: 0495-562371)
Merk op dat het hier wederom om dezelfde telefoonnummers gaat.

Volgens LinkedIn werkt dhr. Kamminga samen met QPazz. Er is echter geen website vindbaar.
De overige handelsnamen hebben hetzelfde telefoonnummer maar een onbekende eigenaar volgens: http://www.telefoondetective.nl/telefoonnummer/0495566355/:
·         Stichting Waarborg Digitale Identiteit (KvK 12058506, Tel: 0495-566355)
·         Henet IT (?, Tel: 0495-566355)
·         Borgh Entry BV (?, Tel: 0495-566355)

Wederom gaat het hier om dezelfde telefoonnummers als de BV's van dhr. Bolk, maar de BV's hebben geen van allen een website.
Dit lijkt niet erg professioneel, maar sommige partijen leken wel in de samenwerking te geloven.
Naar de volgende artikelen wordt trots gelinkt op http://qpazz.org/?page_id=1737:
·         De eigenaars staan met een beschrijving van hun gezamelijke onderneming in de Kamerkrant (zie bladzijde 12): http://www.randalesser.nl/mkw_upload/kamerkrant/KvK_2012-10_MNL.pdf
·         QPazz had ook een pitch voor biometrische beveiliging van de UZI-pas: http://qpazz.org/wp-content/uploads/Publicatie-SynthesHis-september-2012.pdf
·         Sterker nog: dhr. Bolk mocht zelfs zijn pitch doen bij NATO (zie bladzijde 15): http://www.jfcbs.nato.int/systems/file_download.ashx?pg=3873&ver=1

Deze 'ingang' bij NATO is mogelijkerwijs via dhr. Joes van Nijnanten tot stand gekomen: https://nl.linkedin.com/pub/joes-a-van-nijnanten/6/ba0/575. Hij is voormalig Chief Commercial Officer bij QPaZz, Security Officer bij NATO en Protective Security Officer bij MINDEF. Dhr. van Nijnanten lijkt pas iets bij QPazz te zijn gaan doen na zijn NATO-carrière., maar is nu CEO van Symago. Symago levert, volgens http://www.symago.nl/, diensten aan ESG de Elektronische Signatuur, in de rol van Local Registration Authority officer (LRAo). Sailliant detail bij die vermelding: de spelling van 'elektronische' verschilt en Symago wordt niet genoemd als (registratie-)partner op de website van ESG de Electronische Signatuur BV.

-- QPazz en werknemers

QPazz lijkt een serieuze onderneming. Wie werkt(e) er nog meer?

Eén opvallende en terugkerende naam is die van Oscar Kuipers, een bekende via een honkbalvereniging en een voormalig werkgever (of partner?) bij KuboSport/KuboBouw/KuboVest: https://nl.linkedin.com/in/oscarkuipers1. Dhr. Kuipers was voormalig Financial advisor bij Qpazz, Holding Administrator bij Corio, Partner/Owner bij KuBoSport, Financial Controller bij Kobra Agrícola Group, Treasurer bij Keytown Hitters, Controller bij Getronics en Treasurer bij SVGE.

Allemaal indrukwekkende CV's, maar deze rollen lijken weinig met techniek te maken te hebben. Wellicht daarom is Harry Lormans ingehuurd bij Uniq-ID. Hij lijkt de enige werknemer met een harde, technische IT-achtergrond: https://nl.linkedin.com/in/harrylormans.

De overige BV's van dhr. Kamminga zijn ingeschreven op de Horselstraat 1, Nuth. Daar was hij voorheen de founder/shareholder van King Sized Men BV (KvK 12063892, Tel: 0495-566110). Ook deze onderneming wordt bedreven in Weert en heeft geen website.

Dhr. Kamminga is tevens co-founder/CEO van:
·         ESG de Electronische Signatuur BV (KvK 12056805, Tel: 0495-566355, 0495-562371). Dit zou een partner van LegID en QPazz zijn volgens http://www.de-electronische-signatuur.nl. Deze onderneming wordt bedreven in Nuth, maar de telefoon lijkt te gaan in Weert op de bekende telefoonnumers
·         LegID (KvK 14104184, Tel: 0495-566355, Fax: 0495-561847). Ook deze onderneming staat geregistreerd in Weert

Hier is weer een opvallende terugkeer van eerdere telefoonnummers. King Sized Men is, volgens dhr. Kamminga's LinkedIn-pagina, moederbedrijf van beide ondernemingen. De website van LegID (legid.eu) voert het KvK-nummer 14104181. Dat is echter niet het eigen KvK-nummer, maar behoort toe aan Bas Evenementen Producties (KvK 14104181, Tel: 06-52606140) op de Salmenhofweg 32, Baexem. Bas Evenementen Producties staat geregistreerd in Baexem, maar opereert blijkbaar in Roermond. Het bedrijf 'AnjapirAnjA' (KvK 12066670, Tel: 06-46056484) is op hetzelfde adres in Baexem geregistreerd en opereert vanaf hetzelfde adres in Roermond. In beide gevallen is dit opvallend, aangezien de ondernemingen niet direct iets te maken lijken te hebben met King Sized Men of LegID.

Dhr. Bolk heeft dus, samen met partner dhr. Kamminga, toegang tot meer dan 10 BV's.

-- Businesense

De langstlopende van deze BV's is Businesense. Deze onderneming heeft een interessante geschiedenis aan voormalige websites die werden gehost op http://www.businesense.biz. Deze zijn terug te zien via: http://www.screenshots.com/businesense.biz/ en http://research.domaintools.com/research/screenshot-history/businesense.biz/
Er lijken overige bedrijven actief te zijn geweest op de website van Businesense beheer:
·         2006-2007? Romance Works - deze site lijkt te gaan over importbruiden uit de Oekraïne
·         2007-2008  Businesense
·         2008-2009  Joomla templates
·         2009-2010? Performance center
·         2011-....  Skatepark De Garage
·         2012-....  (Templates)
·         2012-....  Gazetty
·         2014-....  (Leeg)

-- Uniq-ID

De nieuwe Nederlandse CA 'Uniq-ID' claimt, onder meer via http://www.computable.nl/artikel/nieuws/security/5402767/1276896/na-diginotarhack-heeft-nederland-weer-ca.html en de eigen website http://uniq-id.com/:

·         "...absoluut veilig en niet kraakbaar te zijn" - voor beveiligingsexperts klinkt dit als een ronduit gevaarlijke uitspraak
·         "...de enige Nederlandse autoriteit op gebied van Certificate Authority [te zijn]" - echter: KPN, QuoVadis, Digidentity.EU, etc. gingen Uniq-ID al voor!
·         "...met de NAVO te hebben samengewerkt." - dit lijkt echter om een proef te zijn gegaan en niet om een implementatie (en voor slechts één terrein)
·         "...te voldoen aan ETSI certificeringen" - ETSI certificeert zelf niet, maar publiceert enkel standaarden waarvoor men zich kan laten certificeren
·         "[dat] (PKI-)certificaten ... nog nooit gekraakt zijn" - de historie rond DigiNotar heeft helaas wat anders uitgewezen

Daarnaast:

·        De website van Uniq-ID draait op een .com-adres op een shared-hosting omgeving
·        Het domein voor Uniq-CA.com lijkt in Nederland geregistreerd te zijn, maar wordt gebruikt voor domain-parking en click-tracking
·        De domeinnaam Uniq-CA.nl is, ten tijde van dit schrijven, nog beschikbaar
·        Het lijkt er op dat Uniq-ID ook heeft nagelaten het 'uniq-id.nl' domein te registreren; deze is al in het bezit van een andere partij
·        De Uniq-ID website is niet voorzien van een correct SSL-certificaat ('localhost'), accepteert onveilige SSL-ciphers en bevat onversleutelde data. Dit lijkt niet het beste voorbeeld voor een CA

Dus: gaat u met Uniq-ID in zee, of wordt het toch https://bugzilla.mozilla.org/show_bug.cgi?id=647959 ?