TNO: OV-chipkaart is voldoende veilig
De OV-chipkaart is voldoende veilig en kan volgend jaar gewoon worden uitgerold, dat blijkt uit onderzoek van TNO. In opdracht van Trans Link Systems, het bedrijf dat de chipkaart levert, werden de lange termijn gevolgen voor de beveiliging van de kaart onderzocht. Wel moeten er een aantal aanvullende maatregelen worden genomen om misbruik tegen te gaan, zo staat in het rapport.
Een van de grootste obstakels was de beveiliging van de Mifare Classic 4k chip, die vorig jaar door Duitse hackers werd gekraakt. Deze chip wordt geproduceerd door NXP, het voormalige Philips Semiconductors. Mifare chips worden wereldwijd in meer dan een miljard chipkaarten gebruikt, waaronder vele e-ticketing-toepassingen in het openbaar vervoer. TNO onderzocht de veiligheid van de chip en concludeerde dat die uiteindelijk binnen 2 jaar moeten worden vervangen door een kaart met een sterkere beveiligingskarakteristiek.
De noodzaak om te migreren zou volgens de onderzoekers niet acuut zijn. Indien in de omringende infrastructuur een aantal maatregelen wordt getroffen, kan de huidige kaart nog minstens enkele jaren worden gehandhaafd. TNO ziet geen acute gevaren voor kaarthouders. "Iemand ter plekke beroven van reisproducten of het kaarttegoed is niet realistisch. Wel is één scenario denkbaar waarin de kaarthouder financieel moet worden gecompenseerd." Daarnaast zou het in theorie mogelijk zijn dat criminelen de kaart op grote schaal gaan misbruiken.
Voor wat betreft privacy moet worden opgemerkt dat het enige persoonskenmerk dat door een aanval op de kaart kan worden achterhaald de geboortedatum betreft. Bovendien is de identiteit van de kaarthouder slechts weergegeven in de opdruk van de kaart en op geen enkele wijze opgeslagen op de chip.
Monitoring misbruik
De OV-chipkaart heeft meerdere lagen van beveiliging. De eerste laag betreft de
standaardbeveiliging van de fabrikant, en de tweede laag bevat beveiligingsvoorzieningen in de chip specifiek voor de OV-chipkaart. De derde laag bestaat uit maatregelen in de backoffice. In de backoffice worden transacties met een afwijkend patroon gemonitord en indien noodzakelijk wordt de kaart bij eerstvolgend gebruik geblokkeerd.
Tot nu toe zouden er geen transacties zijn voorgekomen die duiden op frauduleus handelen met de OV-chipkaart. Wel gaat TLS de door TNO aanbevolen verbeteringen zo spoedig mogelijk doorvoeren. Eerder liet beveiligingsgoeroe Bruce Schneier al weten dat de OV-chipkaart te beveiligen is.
Aanvalsplan Huizinga
Staatssecretaris Huizinga presenteerde vanochtend haar "aanvalsplan" voor de OV-chipkaart, dat op vijf punten is gebaseerd:
- Financiële tegoeden en persoonlijke gegevens van reizigers mogen geen gevaar lopen.
- De privacy van de reiziger is het "allergrootste belang". Tot 2010 mogen er daarom geen reisgegevens worden gebruikt voor direct-marketing.
- De introductie mag niet tot hogere tarieven leiden.
- Distributie in het hele land wordt op dezelfde manier vormgegeven.
- De betrouwbaarheid van het OV-chipkaartsysteem is afhankelijk van een technisch goed werkend systeem. Alleen dan kan reisgemak voor de reiziger worden gegarandeerd. De techniek moet eenvoudigweg kloppen en stabiel zijn.
Link Systems, het bedrijf dat de chipkaart levert..."
En daarom adviseren wij van WC-Eend -> WC-Eend
daarom geen reisgegevens worden gebruikt voor direct-marketing."
Wat een lachertje. Dat is dus, na invoering, maar een jaar. Laat
dat "allergrootste belang" dus maar weg.
Tot 2010 mogen er daarom geen reisgegevens worden gebruikt
voor direct-marketing."
Klinkt als: gegevens mogen opgeslagen worden e.d., als de
gebruiker maar tot 2010 hier niks van merkt.
"De privacy van de reiziger is het "allergrootste belang".
Dat betekend in het Nederlands ongeveer het volgende:
'WIJ verkopen de gegevens, niet een of andere hacker.'
Ik ga wel fietsen.
verkregen van de overheid voor een paar centjes.
Edit: P.S. Hoe bedoel je, mij stimuleren om met de auto te blijven gaan.
(Hmm, al doet die kilometer heffing ook niet echt veel goeds..)
staat los van de hack op de mifare chip. Dat ging om fraude.
"Tot nu toe zouden er geen transacties zijn voorgekomen die
duiden op frauduleus handelen met de OV-chipkaart. "
Dat zal wel kloppen. Pas deze zomer geven de duitsers
voldoende details vrij om het mogelijk te maken de kaart
eenvoudig te klonen.
Het belangrijkste doel van de OV chipkaart is het verzamelen
van reisgegevens voor "het verbeteren van de
dienstverlening", ofwel direct marketing. Dat gaat dus 'pas'
in 2010 van start.
Geeft niets, het rekeningrijden heeft hetzelfde doel en dat
gaat pas in 2012 van start.
De volgende stap is de anti-diefstalchip in fietsen, die zo
veilig wordt dat de overheid altijd kan zien waar elke fiets
is. Staat waarschijnlijk gepland voor 2014. Ideeen voor
voetgangers zijn nog in ontwikkeling. Komen naar verwachting
rond 2016.
Gelukkig maar dat de overheid zo weinig snapt van de
techniek, dat ze het niet waterdicht kunnen maken.
niets aan de hand zou hoeven zijn. In het rapport staat
namelijk dat het gewoon inderdaad zo lek is als een mandje
en vervangen moet worden.
Het aanvalsplan schort aan veel kanten. Nergens een woord
over veiligheid. En waar dat al in beeld komt (privacy)
noemt men het van groot belang om het toch vooral met datum
te noemen waarop het niet meer nodig zou hoeven zijn.
Ik zie hier alle kenmerken van een druk vanuit de politiek
en het bedrijfsleven om toch vooral het project niet de nek
om te hoeven draaien. Dit systeem is gewoon lek en hoort
niet gebruikt te worden zoals het nu is, tenzij je graag je
kop in het zand wil steken voor beveiliging en voorkeur
geeft aan geldzucht.
chipkaart...!!
Zij heeft enkel gekeken naar de beveiliging van die gegevens.
Hoe minder er op die chip komt te staan hoe minder
beveiliging het nodig heeft.
Dat is privacy vraagstuk is aan ONS..!! (het volk)
Wij hebben nu nog not 2010 om daar tegen in verweer te komen.
Anno Niemstra
"Wij hebben nu nog not 2010 om daar tegen in verweer te komen."
/quote
Precies! Let's do it!
Nano Stramien
Hoe minder er op die chip komt te staan hoe minder
beveiliging het nodig heeft.
beveiliging hangt namelijk niet alleen af van aanwezigheid
van persoonsgegevens. Bedenk maar eens dat die kaarten
gekopieerd kunnen worden om met jou tegoed dat je aan de
ovchipkaartrekening hebt gegeven aan de haal te gaan en dus
gratis te reizen op jou kosten. En zo zijn er nog veel meer
problemen waar TNO, de overheid en de uitbaters hun kop voor
in het zand steken.
te komen.
dan een ongebonden regel dat de bedrijven zeggen tot die
tijd geen directmarketing zullen uitvoeren. Maar gebruik van
de gegevens gaat verder dan directmarketing en ongebonden
zijn zegt ook niets over respect houden voor privacy. Dat
maakt het dubbel een poging om mensen stil te krijgen zonder
daadwerkelijk beperkende maatregelen te stellen. Je hebt dus
niet tot 2010 maar tot het moment dat ze je gegevens hebben
en die kaart invoeren.
En gewoon regelmatig wisselen met vrienden.
Worden ze helemaal gek!!!
-groeten Anoniem-
en gekraakt wordt die.
1. Ongeautoriseerde toegang via de poortjes.
2. Schending privacy reizigers
3. Fraude / Diefstal
1. Of je met een nepkaart door een poortje heen kan komen is niet relevant.
Je kan er ook overheen klimmen of gewoon op de alarmbel drukken zodat
alle poortjes vanzelf open gaan. Het wordt anders als deze kaart ook voor
andere doeleinden gebruikt gaat worden. Denk daarbij aan het betalen op
stations en in bussen van allerlei andere dingen zoals b.v. koffie,
fotoautomaat,... Dat gebeurt nu al in ik dacht Hong Kong waar hetzelfde
systeem in gebruik is als, let wel, metro systeem...... (en wij gebruiken dat
landelijk in bus, trein, ...?!?!?!?)
Ad. 1. Dit wordt pas een risico als de privacy op grote schaal geschonden
wordt. Tot die tijd accepteert TLS het risico.
Ad. 2. Ik denk dat door de gevonden kwetsbaarheid niet op grote schaal de
privacy geschonden wordt. Veel te veel werk en op de kaart staat alleen de
geboortedatum van de reiziger. Op de buitenkant van de kaart staan meer
gegevens gedrukt, maar dan moet je wel over de echte kaart beschikken. De
echte privacy problemen rond de OV-chipkaart gaan we nog krijgen. Je kan
er vergif op innemen dat werkgevers de reisgegevens willen hebben van hun
werknemers. Dit om een beter contract met contract te kunnen
onderhandelen met de OV maatschappijen. Dat is denk ik ook de reden dat
een aantal OV maatschappijen de OV-chipkaart graag ziet mislukken.
Ad 3. Fraude is uiteraard iets waarmee de OV maatschappijen rekening
houden. Wie het TNO rapport goed heeft gelezen weet dat er in ieder geval 1
scenario is waarbij schade aan de reiziger moet worden vergoed. Waar rook
is is vuur. Ik denk dat we toch nog wel wat gaan zien hiervan in de toekomst.
Zeker met andere vormen van fraude die niet gebaseerd zijn op de
kwetsbaarheid in de Mifare chip.
Afijn, het eind van de "problemen" met de OV-chipkaart is nog niet in zicht.
Het gaat nu pas beginnen....
worden transacties met een afwijkend patroon gemonitord en indien
noodzakelijk wordt de kaart bij eerstvolgend gebruik geblokkeerd. "
Klinkt toch een beetje raar bij een OV chipkaart. Wanneer ik opeens naar
Groningen of Maastricht ga, waar ik normaal nooit kom, dan wordt de kaart
geblokkeerd ?
Hoe minder er op die chip komt te staan hoe minder
beveiliging het nodig heeft.
beveiliging hangt namelijk niet alleen af van aanwezigheid
van persoonsgegevens. Bedenk maar eens dat die kaarten
gekopieerd kunnen worden om met jou tegoed dat je aan de
ovchipkaartrekening hebt gegeven aan de haal te gaan en dus
gratis te reizen op jou kosten. En zo zijn er nog veel meer
problemen waar TNO, de overheid en de uitbaters hun kop voor
in het zand steken.
te komen.
dan een ongebonden regel dat de bedrijven zeggen tot die
tijd geen directmarketing zullen uitvoeren. Maar gebruik van
de gegevens gaat verder dan directmarketing en ongebonden
zijn zegt ook niets over respect houden voor privacy. Dat
maakt het dubbel een poging om mensen stil te krijgen zonder
daadwerkelijk beperkende maatregelen te stellen. Je hebt dus
niet tot 2010 maar tot het moment dat ze je gegevens hebben
en die kaart invoeren.
Als er enkel een saldo hoeft worden opgeslagen en verder
niets (ja, laten we dat eens proberen) dan is het enkel nog
noodzakelijk voor TLS om het saldo te beveiligen tegen
fraude. Een strippenkaart en chipknip kun je ook verliezen
en gaan anderen ook met jouw tegoed aan de haal. En dat
tegoed is iets waar ik mij het minst zorgen over maak zolang
dit niet aan mijn ID gebonden is. Dat is wat ik bedoel.
En met het 'protest moet haast worden gemaakt als ik het
goed begrijp..!
Ik ga wel fietsen.
een stad woont met alles dichtbij, maar er zijn nog heel veel anderen die
veel grotere afstanden moeten afleggen.
NOOIT te verzamelen en door afstand te nemen van TNO.
TNO is nog niet in staat om hun eigen informatiesystemen te beveiligen
tegen de meeste eenvoudige hackers technieken.
Greeting,
Jacco
[...]
Een strippenkaart en chipknip kun je ook verliezen
en gaan anderen ook met jouw tegoed aan de haal. En dat
tegoed is iets waar ik mij het minst zorgen over maak zolang
dit niet aan mijn ID gebonden is. Dat is wat ik bedoel.
vaak geaccepteerd als pseude-identificatie (videotheken
etc.). Zelfs bij aanhoudingen door de politie wil als
last-resort nog wel eens naar een bankpas gevraagd.....
De OV-kaart is op afstand uit te lezen en dat is bij
bankpassen etc. (nog) niet het geval. Die moet je fysiek
verliezen. Je kan dus wel goed op je bezit letten, maar als
dat relatief eenvoudig op afstand gekloond kan worden......
Het feit dat men 'pas' in 2010 directmarketing mag gaan doen
geeft ze alleen maar wat meer tijd om te 'oefenen' met de
verzamelde gegevens.
Dus 01-01-2010 ligt de (virtuele)brievenbus vol met zooi en
staat de telefoon roodgloeiend.
Baar:
zandbank voor een riviermonding, waar de schepen slechts bij hoog water over
kunnen komen.
"De derde laag bestaat uit maatregelen in de backoffice. In de backoffice
worden transacties met een afwijkend patroon gemonitord en indien
noodzakelijk wordt de kaart bij eerstvolgend gebruik geblokkeerd. "
Klinkt toch een beetje raar bij een OV chipkaart. Wanneer ik opeens naar
Groningen of Maastricht ga, waar ik normaal nooit kom, dan wordt de kaart
geblokkeerd ?
Nee, dat is compleet niet boeiend voor zo'n systeem. Wat boeiender is, is of
dezelfde pas (dwz, hetzelfde ID-nummer) om 12:00 in Amsterdam instapt in de
metro en om 12:05 in Groningen op de bus, dat soort fratsen.
systeem in gebruik is als, let wel, metro systeem...... (en
wij gebruiken dat
landelijk in bus, trein, ...?!?!?!?)
Ik heb geen idee wie dit heeft geschreven, maar in Hong Kong
gebruiken ze de soort van ov chipknip niet alleen voor de
metro, maar ook voor aankopen in de winkel. Je kan dan
hierbij denken aan snacks, kleding, etc. Het systeem daar is
zeer uitgebreid en veilig en werkt prima. Je kan daar dus
ook met hetzelfde pasje in de bus, metro en winkels
gebruiken en NIET alleen voor het METRO SYSTEEM!!!
Ben benieuwd hoe ze hier het probleem met al die hackers
oplossen en wanneer het eindelijk nou komt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
