Op 31 december 2007 besloot het Amerikaanse ministerie van Buitenlandse Zaken een rfid-chip in de Amerikaanse paspoortkaart te bouwen die tot een afstand van zo'n 6,5 meter afleesbaar is. Deze kaart is bedoeld als een goedkoper en kleiner alternatief voor een echt paspoort. De kaart zal geldig zijn om over land en zee (maar niet per vliegtuig) te reizen naar Canada, Mexico, Bermuda en de Cariben.

De op dit moment ingebakken chip is maar tot 7,5 cm afstand leesbaar. De nieuwe chip biedt dus een veel groter bereik. Dat is handig: je zwaait wat met je pas en kunt meteen doorlopen bij de grens. Critici menen echter dat de privacy van staatsburgers in het geding is, zeker daar de kaart met speciale lezers tot op 13 meter uit te lezen zou zijn! Een woordvoerder van het Amerikaanse ministerie van Buitenlandse Zaken werpt tegen dat er geen 'biografische gegevens' via rfid afleesbaar zullen zijn, het enige dat uitgelezen kan worden is de foto van de kaarthouder. Nou en met alleen een pasfoto kun je geen identiteitsdiefstal plegen. Toch? Zeker niet als hij net zo goed lijkt als die van mij.

Alle gekheid op een stokje, de pasfoto kan niet uitgelezen worden, alleen de signature die eruit afgeleid wordt. Dat zijn stiekem toch 'biografische' gegevens. Of geloof je nu echt dat al die tig pixels ingelezen worden over die bandbreedte? Als aanvullende maatregel gaat het Amerikaanse ministerie aan de kaartleverancier (die nog geselecteerd moet worden) vragen om een beschermend hoesje te ontwerpen zodat je kaart alleen uitgelezen kan worden als jij dat wilt. Ziezo, probleem opgelost. Althans, voor mensen die dit graag willen geloven. En: zo lang je die kaart in dat hoesje houdt.

Tegelijk verschijnen er meldingen rond het 'breken' van de rfid die onder meer gebruikt wordt in autosleutels. Geinig. Leg dat maar eens uit aan de verzekering als al je geleaste auto's van een bepaald type tegelijk gestolen worden... We gaan leuke tijden tegemoet: ik zie het helemaal al voor me, een grote terugroepactie van alle BMW X-3s omdat de signing key gestolen is, of gekraakt door een Duitser met roze haar.

De discussies rond de veiligheid van rfid worden gedomineerd door privacy en de bedreigingen die uitgaan van allerlei geavanceerde vormen van criminaliteit. Maar vergeten we niet juist de minder geavanceerde bedreigingen? Hightech criminaliteit wordt pas zinvol als gewone vormen van criminaliteit niet meer werken. Je gaat toch niet uit stelen als je houdt van veel inspanning voor weinig resultaat - dan kun je net zo goed een baan zoeken.

Als ik kan uitlezen dat de eigenaar van die Mercedes CL600 binnen 6 meter loopt, is dan het grootste risico voor de eigenaar dat ik de chip uitlees en de auto steel met een kopie? Is het grootste risico dat een Amerikaan loopt dat ik van z'n nieuwe kaart een stukje van z'n digitale identiteit lees en doorgeef aan een winkel? Of, om meer actueel te blijven, dat iemand je kaart kopieert en onder jouw identiteit en op jouw kosten de tram neemt in Rotterdam? Dat de RET weet wanneer je welke tram genomen hebt en dat doorgeeft aan de coordinator terrorismebestrijding, maar dat jij dat niet was maar iemand met een kopie van je kaart? Dit zijn toch een beetje triviale scenario's. Als dit het enige is wat er aan de hand is, ben ik helemaal voor alle rfid-toepassingen. Zeker omdat ik als rechtgeaarde IT-er toch nooit met het openbaar vervoer ga.

Maar dit is - uiteraard - niet het enige wat er aan de hand is. De bestuurster van die zwarte Mercedes wordt op d'r bek getimmerd tot ze haar sleutels afgeeft. Via de sniffer weet je op dat moment ook al welke creditcards zij op zak heeft en welke elektronische gadgets ze heeft - verrotte handig als je op zoek bent naar iemand om uit te schudden. Die Prada handtas en het Cartier horloge melden zich ook keurig, dus die gaan ook mee. De heler kan de echtheid ook controleren met de tag, dus je krijg ook meer geld voor je buit. Ah, de zegeningen van de technologie.

Dan stoppen we er toch gewoon sterke cryptosleutels in? Tja, het lukt al niet om een PKI project voor 5.000 medewerkers rond te krijgen, denk je dat we dat dan wel kunnen voor alle 50.000 goederen in een gemiddelde supermarkt? O ja, maar dan stoppen we er toch een Firewall in, zoals RFIDSec uit Denemarken levert? Vast wel, ik vermoed dat de eerste RFID anti-virus producten ook binnenkort op de markt komen.

De risico's gaan nog verder dan alleen de doodgewone beroving met grof geweld. Ook voor de terrorist ontstaan er tal van nieuwe kansen. Met een afstand van 6,5 meter is het mogelijk om een bermbom te laten afgaan als iemand met een Amerikaans paspoort voorbijkomt. Daarbij maakt 6,5 of 13 meter ook niet echt uit, zo duur is kunstmest immers niet. Een slimmere bom gaat pas af als er binnen twee minuten drie Amerikanen langskomen. Dan hoef je ook geen vrijwilligers meer te zoeken voor zelfmoordaanslagen. En huurmoordenaars kunnen hun geweer aan de wilgen hangen en gepersonaliseerde bommen gaan strooien. Eigen schuld, dikke bult, had je die pas maar in het beschermende hoesje moeten doen!

Het drama beperkt zich niet tot alleen paspoorten - tags die aan apparaten of spullen worden gehangen introduceren immers vergelijkbare risico's. De bermbom zal volgens een typespecifiek patroon afgaan als er een Hummer of een Patria langskomt zodat de schade maximaal is. Met active tags is het bereik ook een stuk groter - tot 500 meter, en het gerucht is dat sommige legers een grote voorkeur hebben voor active tags omdat deze veel betrouwbaarder zijn. Betrouwbaarheid is inderdaad een groot goed.

Je kunt de bom ook laten afgaan bij een passerend voertuig omdat er een boel mensen inzitten met een Calvin Klein onderbroek aan of een Walmart tag in hun zonnebril. Rfid stamt af van IFF (Identification Friend or Foe) en dat zul je weten ook.

Dit soort bedreigingen zijn nogal andere koek dan een beetje identiteitsdiefstal. Overigens is dit al gedemonstreerd op Black Hat 2006 door Flexilis en roept Bruce Schneier dit ook al een tijdje in de woestijn.

Ik denk dat we de firma van die beschermhoesjes moeten vragen een kledinglijn op de markt te brengen met dezelfde eigenschappen. Wordt vast ook erg populair bij winkeldieven. Of we vragen de maker van onze telefoon om er een rfid-jammer in te bouwen. Dit soort nieuwe producten zal goed verkopen, zeker als je bovenstaande scenario's in een smeuïge, wat smakeloze campagne giet. Ik verwacht dan ook een terugkeer van Benetton als topmerk, totdat het kabinet dergelijke producten verbiedt voor gewone burgers. Dan mogen alleen opsporingsambtenaren en militairen dat dragen - dat geeft werkenbijdeoverheid.nl opeens een hele andere dimensie. Of ze gaan alleen Extended Capability tags toestaan, die geen last hebben van shielding.

Blijkbaar zitten de beveiligingsspecialisten weer eens te slapen. Wij zijn allemaal ethische consultants met te weinig fantasie om échte bedreigingen serieus te nemen. We erkennen alleen hightech risico's die passen in ons knusse belevingswereldje, zodat we alleen daartegen beveiligen. Voor mensen met een ondernemende geest aan weerszijden van de wet, breken er interessante tijden aan.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter