Chipinfo.nl

Door een storing bij TLS was het maandag niet mogelijk om abonnementen en besteld saldo van de ov-chipkaart op te halen. De storing was dinsdag weer opgelost.

Iedereen die hierdoor gedupeerd is en dus met een abonnement had kunnen reizen, maar deze maandag niet op kon halen, krijgt van Trans Link Systems binnen twee weken een brief met daarin de mededeling dat het teveel betaalde geld opgehaald kan worden bij een ophaalautomaat.

Dit geldt ook voor houders van anonieme ov-kaarten, maar die krijgen natuurlijk geen brief, omdat de adresgegevens onbekend zijn. Zij moeten de website van de ov-chipkaart in de gaten houden.

Bronnen: NOS – Storing ov-chipkaart voorbij en NOS – Compensatie na storing ov-chipkaart

Kwam op dinsdag nog naar buiten dat er met een eenvoudig Windows-programma de ov-chipkaart gekraakt kon worden (zelf saldo opladen), gisteren (woensdag) werd er zelfs een hack openbaar waarmee er zelf ingecheckt kan worden.

TLS meldde dinsdag nog dat er “geen probleem is zolang het in de backoffice terug te vinden is”. Dit is natuurlijk waar, gezien het zelf opladen van de ov-chipkaart tot gevolg heeft dat de gegevens op de kaart niet meer kloppen met de gegevens in de database op het moment van in-/uitchecken.

Voor deze hack werd in december al iemand veroordeeld, maar journalist Brenno de Winter reist al enige tijd zonder problemen zwart met de ov-chipkaart.

De nieuwe hack slaat het in- en uitchecken geheel over: door zelf de juiste gegevens op de kaart te zetten, kan TLS niet meer controleren of je illegaal aan het reizen bent. Ook geblokkeerde kaarten kunnen alsnog worden gebruikt om mee te reizen en de conducteur merkt er helemaal niets van. De hack lijkt overigens alleen te werken in de trein, aangezien op andere plaatsen sowieso ingecheckt moet worden.

De SP en de PvdA hebben een spoeddebat naar aanleiding van deze hacks aangevraagd. De vraag is nu hoe economisch haalbaar het is om de ov-chipkaart in zijn huidige vorm te blijven hanteren wanneer deze door iedereen eenvoudig kan worden gekraakt. Het lijkt er sterk op dat dit toch het begin van het einde is van de ov-chipkaart zoals we hem nu kennen.

Over het juridische aspect heeft bloggende (en in NOS-filmpjes sprekende) ict-jurist Arnoud Engelfriet nog het een en ander te zeggen. Meer informatie over de ov-chipkaart en de structuur ervan, is te vinden op ov-chipkaart.org.

Update: De minister heeft toegezegd dat eind 2011 de nieuwe ov-chipkaart, waarover Chipinfo.nl vorig jaar al berichtte, met betere beveiliging op de markt moet komen. De uitrol daarvan zal wel een aantal jaren in beslag nemen, met name omdat bestaande kaarten uitgefaseerd moeten worden. Voorlopig is de huidige kraak nog beheersbaar, gezien deze niet op grotere schaal wordt toegepast dan, zeg, de strippenkaart. De rfid-lezers vliegen echter wel de winkel uit, dus de vraag is hoe lang dat statement stand blijft houden.

Bronnen: NOS – Manipuleren ovchip kinderlijk eenvoudig en NOS – Fraude ov-chipkaart niet te achterhalen

Er wordt door de overheid 6,7 miljoen euro uitgetrokken voor het inoveren van een veiligere ov-chipkaart. De beheerder van de ov-chipkaart, Trans Link Systems, reageert terughoudend.

De huidige ov-chipkaart maakt gebruik van de Mifare-chip, dat ruim twee jaar door Duitse hackers onveilig is getoond. In april 2008 raadde de Universiteit van Londen aan de chip te vervangen. Dat laatste zal nu dan ook gebeuren: de Mifare-chip zal worden vervangen door de SmartMX-chip. Deze chip komt van hetzelfde bedrijf dat de Mifare-chip heeft ontwikkeld, NXP Semiconductors. Staatssecretaris Tineke Huizinga geeft TLS 6,7 miljoen euro subsidie om de nieuwe kaart in te voeren. De Britse wetenschappers oordeelden positief over deze chip.

Het is nog onduidelijk welke soorten kaarten een andere chip zullen krijgen. De anonieme en persoonlijke kaarten gebruiken de Mifare Classic-chip; de wegwerpkaart gebruikt de eenvoudigere Mifare Ultralight-chip. De laatste is niet cryptografisch beveiligd, de eerste is beveiligd met eenvoudige cryptografische sleutels. De nieuwe chip heeft een microprocessor aan boord die in staat is ingewikkelder cryptografische berekeningen uit te voeren, waardoor deze beter beveiligd is. Gevolg hiervan is wel dat deze chip ook duurder is, wat het onwaarschijnlijk maakt dat de wegwerpkaarten vervangen zullen worden. Deze kaarten zijn slechts kort geldig en daarom minder interessant om er fraude mee te plegen.

TLS zou liever niet op een andere kaart overstappen. Vanwege de kosten vindt het bedrijf dit niet gerechtvaardigd; bovendien zou de overstap onnodig zijn. Om die reden zal er niet direct op de nieuwe chip worden overgestapt, maar zal er wel met de ‘eerste fase’ worden begonnen.

Bron: Tweakers.net – SmartMX-chip moet ov-chipkaart veiliger maken