OV-chipkaart voor 30 euro te hacken
Iedereen die over Linux beschikt en 30 euro voor een RFID-lezer betaalt kan de OV-chipkaart kraken, zo is vandaag in de PC Active te lezen. De beveiliging van de kaart lag al geruime tijd op straat, maar het ontbrak nog aan tools waarmee iedereen kaarten kan klonen. Met de komst van Ubuntu 10.10 en een handleiding op de website ov-chipkaart.org is frauderen met de kaart kinderspel. Voor het kraken van de OV-chipkaart moet men veertig sectoren kraken. Iets wat veel lijkt, maar door de slechte cryptografische implementatie redelijk snel te doen is.
"Dat maakt het mogelijk om met de juiste software de kaart uit te lezen, aan te passen of er zelfs een kopie van te maken. Het doen van aanpassingen is fraude en dus strafbaar", zo schrijft PC Active. Het computerblad beschrijft dan ook alleen een manier om de kaart uit te lezen. Toch kunnen mensen die iets verder willen gaan een anonieme kaart kopen, het saldo op de kaart aanpassen en zo een hele dag door Nederland rondreizen. De verwerking van de transacties vindt namelijk pas 's nachts plaats, waarbij de kaart dan geblokkeerd wordt. Het kwaad is dan al geschied, aangezien iemand dan voor 7,50 euro bijvoorbeeld een hele dag eerste klas heeft kunnen rondreizen.
Maatschappelijk probleem
Met de publicatie wil het blad een maatschappelijk probleem aan de kaak stellen, namelijk dat "ons een systeem met allerhande zwakheden wordt opgedrongen." Burgers kunnen daardoor dupe van fraude worden, of onterecht door politie worden verdacht. In tegenstelling tot wat de overheid beweert, is de kaart die miljarden euro's kostte niet langer alleen in een laboratoriumomgeving gekraakt en is er ook geen speciale kennis meer vereist.
Naast Ubuntu 10.10 en een RFID-lezer moet men ook de Crapto1 library, Libnfc driver voor de kaartlezer en de Miface Classic Offline Cracker installeren. Gebruikers kunnen vervolgens eindeloos experimenteren, aangezien de kaart niet zoals met een pinpas na drie foute pogingen wordt geblokkeerd. Vooralsnog is het OV-chipkaart hacken alleen aan Linux-gebruikers voorbehouden, maar het computerblad denkt dat het slechts een kwestie van tijd is voordat er een Windows versie verschijnt.
Update 16:00
Bart Jacobs van de Radboud Universiteit Nijmegen laat tegenover de Volkskrant weten dat de door PC Active beschreven hack niet nieuw is. De onderzoeksgroep van Jacobs kraakte de OV-chipkaart in 2008, maar besloot geen software te publiceren waarmee anderen dat ook konden doen. Translink zou Jacobs hebben laten weten dat er enkele tientallen gehackte kaarten ontdekt zijn, een aantal dat door de berichtgeving zou kunnen stijgen.
In een officiële reactie laat het bedrijf weten dat fraude pas twee keer is voorgekomen en dat het niet bang is voor een toename door de vereenvoudigde hack. "We ontdekken dat 's avonds in onze systemen."
Ik vraag me toch af waarom er zo stug wordt vastgehouden aan een product wat zo veel storingen heeft en zo fraudegevoelig is. De kaart moest er komen, of het nou wel of niet werkt. Die mentaliteit is verschrikkelijk amateuristisch en dictatoriaal.
Ik ben voorstander van het idee, dat helemaal, maar niet op deze manier.
Maar ja dit verhaal is nu natuurlijk al achterhaald, ben benieuwd wat ze gaan doen in Nederland hiermee want dit kan niet langer zo.
Buschauffeur uit Haarlem, Peter Bremer
In almere heb ik regelmatig controle waarbij ze de kaart voor een lezer houden. Een kloon/iphone gebruiken is dus geen optie.
Ik heb trouwens wel een lezer besteld. Die ik vroeger kon vinden waren altijd 100E+ en dat vond ik het niet waard om beetje te experimenteren met bedrijfspasjes/ov chipkaart maar 59 euro inc vat en verzenden vind ik de moeite wel waard.
Nee, eigenlijk niet.
OV-Chipkaarten werken niet op barcodes maar op RFID chips, en voor zover ik weet kan het schermpje van mijn iPod geen RFID-signalen versturen.
Helaas, better luck next time.
Eindelijk gaat het nieuwe werken er komen gratis wifi in de trein met een gratis geladen OV-chippie
Minder files en het milieu vaart er wel bij. Zou je de koffie nog wel moeten betalen? Die is op kantoor tenslotte ook gratis.
De reden voor invoering was geen fraudebestrijding, en de oude kaartjes zijn evenmin fraudebestendig. Het feit dat fraude mogelijk is, is een risico wat men simpelweg accepteert, terwijl het nieuwe systeem voordelen met zich meebrengt, zowel voor de bedrijven (marketing) als ook voor de overheid (inlichtingen / opsporing).
Het idee dat een produkt 100% veilig dient te zijn is een idee wat eerder speelt bij beveiligers en bij (sommige) andere burgers dan bij de top binnen zo'n bedrijf.
Indien het risico laag is, en de schade niet al te groot, dan is de mogelijkheid tot fraude aanvaardbaar. Mogelijk is het maken van een systeem wat fraude uitsluit (als dat al mogelijk zou zijn) duurder dan het aanvaarden van het huidige risico.
Mocht dat het geval zijn, welke zakelijk belang is er dan nog om te proberen fraude volledig uit te sluiten ?
1) Eerst onderzoek op universiteit, publicatie theoretische en praktische problemen gevolgd door een proof of concept code.
2) Hobbyisten/hackers maken eenvoudigere implementatie voor de leek op basis van academische vindingen.
3) Leek zonder veel achtergrond kennis kan met 30 euro + 'beetje verstand van zaken' hetzelfde doen als ze op de universiteit voor elkaar kregen.
En er zijn producten van de OV chipkaart die prima werken. De wegwerp kaart van een weekend is perfect voor een weekendje Amsterdam. Veel makkelijker dan een berg papiertjes moeten kopen. Dus ik zie wel brood in het idee, maar de techniek, het proces en het bedrijf erachter zuigt. Er is niet gekeken naar veiligere en minder storingsgevoeligere alternatieven. In Hongkong hebben ze een soortgelijk systeem al vanaf 1997! En als er ergens hackers wonen dan is dat wel China. In Londen doen ze het al vanaf 2003. Tijd genoeg om die producten goed onder de loep te nemen en er van te leren. De techniek en de toepassingen zijn niet nieuw.
Maar in Nederland moest het weer eens anders. Verschillende vervoersbedrijven, verschillende gemeentes met verschillende belangen. Ineens werd het reizen duurder omdat bedrijven de extra kosten mogen doorrekenen naar de klant, ineens moest je 7,50 extra gaan betalen voor een reis in Rotterdam omdat je strippenkaart niet werd geaccepteerd. En alle waarschuwingen ten spijt heeft men niets gedaan aan de beveiligingslekken.
100% veilig haal je niet, maar 30 euro vind ik wel heel erg goedkoop. Dan hebben we het nog niet over de mogelijkheid om kaarten in te lezen en te kopiëren zodat je de gegevens en gelden van een ander kunt gaan gebruiken. Wanneer komt dat op de markt? Je hoeft alleen maar naast iemand te zitten om alles uit te lezen.
Ja, dat zou de volgende domme actie zijn :)
Er zijn zeker 10 mogelijkheden om misbruik van de ov-chipkaart te maken.
En 9 daarvan zijn in het voordeel van de overheid/vervoersbedrijven, maar owee als de consument dat doet dan volgen dikke boetes en een strafblad en de overheid komt er zoals gewoonlijk weer zonder krassen vanaf met extra inkomsten.
Iemand zou ook een Ubuntu MFOC Live CD kunnen maken. En met wat high level scripts het gehele proces helemaal automatiseren. Zodat iemand met nul kennis van Linux ook kan.
Het is juist dóór het werk van de universiteit dat het nu zo gemakkelijk kan, de Radboud Uni heeft de zwakheden blootgelegd en onderzocht. Om vervolgens software voor te schrijven is dan een eitje...
hahahahahahaha piieeuuuwww effe bij komen
zolang het niet veel is gebeurt is het wat ons aan gaat :
NIET GEBEURT , JA ? DUIDELIJK JA ? !!!!!
hahahahahaha
lijkt wel een bank, neeeee hoor helemaal veilig, zolang wij niet toegeven dat er wordt ge skimd en ingebroken
dan is dat ook niet zo, ongeacht wat u zegt :-P
Schande dat dit maar door kan woekeren
alleen al het geld wat er al jaren in is gestoken
ronduit schofterig
pffffff en u kent mensen die dergelijke straffen hebben opgelopen ?
man hou op, voor moord krijg je dit nog niet daadwerkelijk
de gemiddelde inbreker straatrover staat met een dagje weer buiten
kijk als je nou een minister iets lelijks toewenst, ala dan krijg je de volle laag
maar hier voor ?
waar het om gaat is dat er tonnen aan belasting geld in dit vervloekte project zijn gestoken ( lees weggegooid ) terwijl niemand het wil,
behalve de vervoers bedrijven die allang hebben doorgerekend wat het opleverd ( terwijl de belasting betaler het hele proces betaald )
1) minder personeel
2) geen kaartjes meer en de klant betaald zijn eigen plastic
3) roven van geld doormiddel van te veel berekenen
4) dik geld in kas van al die opgewaardeerde kaarten ( ja vergeet dat niet mee te tellen, lekker werk kapitaaltje )
5) per kilometer afrekenen ook al rijd je bus om
en ga zo maar door
en de overheid lijkt het ook wel wat
ja lekker weten waar iedereen geweest is .
net als het kilometer heffen verhaal
ook daar is er maar 1 die belang heeft .
Heeft volledig controle over uw en mijn leven.
Een paar knopjes indrukken en men weet waar je bent en wat je doet.
Nog een paar knopjes indrukken en je kan helemaal niets meer, je bestaat niet, hebt geen geld meer en komt vrijwel nergens meer.
Zeer angstige ontwikkelingen naar mijn mening !!!
Zo...als je zelf eens misbruik kan maken van deze misbruikpraktijken heb je echt mijn zege !
Ikzelf wordt zo langzaam kotsmisselijk van al dat schijnheilige gedoe van overheden en bedrijven alsof het voor ons eigen bestwil is. Onder het moto het is makkelijk en veilig. Ja, makkelijk om legaal uw bankrekening te plunderen en het u verdomd moeilijk te maken als u klachten heeft.
Ik ben blij dat er hackers zijn die mensen de waarheid laten zien in de hoop dat de mensen eens wakker worden.
Als ze geen anonieme chipkaarten meer ondersteunen, deze gratis aanbieden. Zodra ze er achter komen dat zo'n ding gehackt is er een boete van 1000 euro met 1 maand celstraf.
Dat doet niemand het meer. Een bank kan je ook nogsteeds overvallen. Maar dat doet ook (bijna) niemand meer.
Laten we accepteren dat er nooit een waterdicht systeem zal bestaan.
Bij de buskaart kon je een een plakbandje eroverheen plakken en je stempel er weer af geven.
ik ben een meisje van 17 ik fiks het zo omdat ik 24/7 achter de pc zit
zo moeilijk is het niet en die €1000 boete voor fraude haal ik er makkelijk uit met wat ik allemaal afrijs naar school. maarja geen 18 is geen ov studentenkaart stelletje nazi's! nou dan maar zo...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
