Kwam op dinsdag nog naar buiten dat er met een eenvoudig Windows-programma de ov-chipkaart gekraakt kon worden (zelf saldo opladen), gisteren (woensdag) werd er zelfs een hack openbaar waarmee er zelf ingecheckt kan worden.
TLS meldde dinsdag nog dat er “geen probleem is zolang het in de backoffice terug te vinden is”. Dit is natuurlijk waar, gezien het zelf opladen van de ov-chipkaart tot gevolg heeft dat de gegevens op de kaart niet meer kloppen met de gegevens in de database op het moment van in-/uitchecken.
Voor deze hack werd in december al iemand veroordeeld, maar journalist Brenno de Winter reist al enige tijd zonder problemen zwart met de ov-chipkaart.
De nieuwe hack slaat het in- en uitchecken geheel over: door zelf de juiste gegevens op de kaart te zetten, kan TLS niet meer controleren of je illegaal aan het reizen bent. Ook geblokkeerde kaarten kunnen alsnog worden gebruikt om mee te reizen en de conducteur merkt er helemaal niets van. De hack lijkt overigens alleen te werken in de trein, aangezien op andere plaatsen sowieso ingecheckt moet worden.
De SP en de PvdA hebben een spoeddebat naar aanleiding van deze hacks aangevraagd. De vraag is nu hoe economisch haalbaar het is om de ov-chipkaart in zijn huidige vorm te blijven hanteren wanneer deze door iedereen eenvoudig kan worden gekraakt. Het lijkt er sterk op dat dit toch het begin van het einde is van de ov-chipkaart zoals we hem nu kennen.
Over het juridische aspect heeft bloggende (en in NOS-filmpjes sprekende) ict-jurist Arnoud Engelfriet nog het een en ander te zeggen. Meer informatie over de ov-chipkaart en de structuur ervan, is te vinden op ov-chipkaart.org.
Update: De minister heeft toegezegd dat eind 2011 de nieuwe ov-chipkaart, waarover Chipinfo.nl vorig jaar al berichtte, met betere beveiliging op de markt moet komen. De uitrol daarvan zal wel een aantal jaren in beslag nemen, met name omdat bestaande kaarten uitgefaseerd moeten worden. Voorlopig is de huidige kraak nog beheersbaar, gezien deze niet op grotere schaal wordt toegepast dan, zeg, de strippenkaart. De rfid-lezers vliegen echter wel de winkel uit, dus de vraag is hoe lang dat statement stand blijft houden.
Bronnen: NOS – Manipuleren ovchip kinderlijk eenvoudig en NOS – Fraude ov-chipkaart niet te achterhalen