Van journalist tot OV-chipkaarthacker (Interview)
Ov-chipkaartproducent Trans Link Systems heeft de realiteitszin verloren, aldus onderzoeksjournalist Brenno de Winter in een interview met Security.nl. Vier jaar geleden begon hij met een onderzoek naar de beveiliging van de OV-chipkaart. "Er was van alles met dat project aan de hand dat niet in de haak was." In de Kamer werd toen veel geroepen over wat er technisch mogelijk was, maar iedere keer werd dat weggewuifd. "Het zou alleen om een theoretische dreiging gaan."
Vorig jaar wilde De Winter daar iets mee gaan doen. Samen met computermagazine PC Active startte hij een onderzoek. Het begon met een beschrijving van de kaart en alle aanloopproblemen. Niet veel later verscheen er ook een website met een beschrijving waarop stond hoe de kaart te kraken is. Op die website stonden ook links naar software om de kaart te kraken. "Toen was het vrij evident dat het uitlezen van de kaart onder Linux vrij eenvoudig was." De Winter ontving ook signalen dat er al met gekraakte OV-chipkaarten werd zwartgereden.
Samen met het blad verscheen er toen een artikel over het uitlezen van de kaart, dat aardig wat media-aandacht genereerde. "Toen was de kritiek dat alleen nerds dit konden doen, omdat je Linux moest gebruiken." Ondertussen werd er ook al aan Windows software gewerkt voor het kraken van de kaart. Om te demonstreren dat ook Windows-gebruikers de kaart konden kraken, begon De Winter in januari met het reizen op een gekraakte OV-chipkaart. Hij wilde hiermee aantonen dat fraude niet gedetecteerd werd. Zelfs op een geblokkeerde kaart was het mogelijk om te blijven reizen. "Daarvoor moet je de backoffice testen en dat zul je enige tijd moeten doen. Ze moeten bij Trans Link wel een eerlijke kans hebben omdat te detecteren.
Zwartrijden
Het zwartrijden met de gekraakte OV-chipkaarten zorgde voor een ware media hype, gevolgd door een spoeddebat. Daarop werd de uitrol in de regio Haaglanden stopgezet. Trans Link had echter aangifte van misbruik gedaan. Iets waar De Winter wel rekening mee had gehouden toen hij het project begon. "Het vervelende is dat je te maken hebt met een bedrijf, dat één ding kan doen: geen antwoord geven op vragen en je elke keer van het kastje naar de muur sturen. En dus zul je zo'n backoffice op een andere manier moeten testen."
Voor De Winter speelde vooral dat het hier om 3 miljard euro aan publiek geld ging. "Dan heb je een meer dan gemiddeld recht om dat te toetsen." Het dossier werd volgens de journalist steeds gekker. Overschreden budgetten, een privacyprobleem waarbij reisgegevens zeven jaar zouden worden opgeslagen. "Elke keer kwam er iets naar boven dat dit dossier mijn dossier maakte."
Het torpederen van de OV-chipkaart was nooit de inzet van De Winter geweest, toch waren er momenten dat hij dacht dat het project gestopt zou worden of dat bewindslieden hierover zouden vallen. "Het was geen doel, maar het zou wel logisch zijn." Toch ging het project door en bleven alle ministers gewoon zitten. "Daarom ging ik door met het vergaren van nieuws. Ik heb niet veel meer gedaan." Trans Link zou echter bewust de journalist hinderen. "Zij spelen het heel erg op de man. Je kunt nergens in mijn dossier vinden dat ik iets op de man heb gespeeld."
De acties van de ov-chipkaartproducent noemt De Winter tekenend. "Dit bedrijf neemt zichzelf zeer serieus, maar de rest gewoon niet. Ze nemen de burger en journalistiek niet serieus. Ze denken dat ze een soort godheid zelf zijn. Dat blijkt uit de manier waarop ze geen openheid over privacy willen geven. Wat gewoon een verplichting in de WBP is." Burgers hebben het recht om te weten wat er met de opgeslagen gegevens gebeurt, maar Trans Link zou dit niet willen zeggen. "Maar ook de journalistiek actief hinderen. Voor iets dat van publiek geld wordt betaald is dat vrij ongehoord."
Opgeven
De Winter kan zich niet voorstellen dat de affaire voor één van beide partijen zonder gevolgen blijft. "Ik denk dat ik binnen de marges van de wet heb gehandeld. Daar ben ik heilig van overtuigd. Als ik zie wat Alberto Stegeman heeft gedaan versus wat ik heb gedaan en de openheid die ik hierbij heb betracht." Het is dan ook vooral de directie van Trans Link die zich erg zorgen over het eigen aanblijven moet maken. "Ik heb iets in mijn werk gedaan, wat in mijn privésfeer wordt uitgespeeld. En dat kan niet waar wezen en ook niet zonder gevolgen blijven."
De Winter voelde zich erg gesteund door alle reacties en het geld voor zijn advocaat dat zeer snel werd ingezameld. "Ik weet niet wat het OM nu wel en niet ziet. Ik heb niet het gevoel dat het OM de zaak aan het versnellen is, maar ze hebben het ook niet geseponeerd. Het is heel onduidelijk." Toch heeft de journalist vertrouwen in de rechtstaat en denkt niet dat hier foute dingen gaan gebeuren. Door het optreden van Trans Link Systems heeft De Winter niet alleen een soort cultstatus verworven, "geen enkele Nederlander neemt dit bedrijf met deze directie nog serieus. Hun geloofwaardigheid is nu heel minimaal geworden."
Mocht er in de toekomst een soortgelijk systeem komen dat vol kwetsbaarheden zit, zegt De Winter nog steeds op dezelfde manier te zullen handelen. "En als het nodig is en je moet de wet iets overtreden om dat hard aan te tonen en het kan niet anders, dan doe ik het weer."
Rechtszaak
Wat betreft de afwikkeling van de huidige aanklacht denkt De Winter niet dat het tot een rechtszaak zal komen. "Het is de houding van Trans Link dat dit tot een slepende affaire heeft gemaakt." De NS geeft bijvoorbeeld wel openheid over zaken als privacy. Bedrijven moeten dan ook naar eerlijke, open en transparante communicatie toe. "Daar hebben hun klanten en de burgerij recht op, zeker als je met publiek geld omgaat. Mensen betalen een enorme berg belasting en dat geeft een enorme verantwoordelijkheid."
De Winter heeft het gevoel dat bij Trans Link een groep mensen zit die deze verantwoording niet voelt. "Dat blijkt wel uit het feit dat ze denken dat ze zo goed functioneren dat ze boven de Balkenende norm horen te verdienen. Dat getuigt niet van realiteitszin. En het is de rol van een journalist om hier heel kritisch tegenover te staan."
Toen kwam de OV-chip. Meer dan 3 miljard aan taxpoet. De totale waanzin aan reisgegevens en de opslag ervan. En ik zie de voordelen niet die 3 miljard aan belastinggeld moeten verantwoorden. Want met zo'n bedrag neem je aan dat,behalve gebrek aan toiletten in de trein nog veel meer voordelen zitten. Komt er universitair personeel en 2-persoons zitplaatsen per persoon? Rijden de treinen nu wel met blaadjes op rails of bij -3 vanwege speciale smeerolie? 4000 extra controleurs? Zijn de trambanen en spoorrails van 14 krt goud? Zijn de bestuurders (lees: niet managers) van de bussen/trams en treinen ineens 1xbalkenende gaan verdienen?
Er moet toch iets zijn dat ik over het hoofd gezien heb,want Melanie Schultz voert het niet zomaar -en met zoveel haast- in,toch?
Brenno toont aan dat het in ieder geval met de privacy niet goed zit,dat er eenvoudig gefraudeerd kan worden en dat translink directie arrogant en achterbaks is. Brenno de Winter doet goed werk. Zo iemand moet je koesteren,niet aanklagen of veroordelen.
Eigenlijk is het is tijd om het hele OV-faal project af te schaffen. Terug naar de strippenkaart. Want 'beter ten halve gekeerd,dan ten hele gedwaald'.
Wat is nou makkelijker om de prijs per km te verhogen. Wie heeft dat nou door? Een duurdere strippenkaart wordt direct opgemerkt.
Daarnaast wordt er grof geld verdient als je de kaart niet goed gebruikt. Niet uitchecken kost je EUR 20 bij de NS, EUR 4 bij de RET. En het is een hel om je geld terug te krijgen.
En wat dacht je ervan als je met een bus van Ariva rijdt, dan de trein neemt gevolgd door een Connexxion bus?
Je mag toch verwachten dat in deze technologische tijd je kan inchecken in de Ariva bus en uitchecken in de Connexxion bus en dat de reis dan berekend wordt op basis van, bijvoorbeeld, een reisadvies dat je kan vinden op 9292ov? Daar wordt eenvoudig weergegeven wat het gaat kosten.
Waarom dus allemaal zo moeilijk doen!
Die Lulz-figuren van laatst hanteerden dezelfde redenatie: Als het een hoger doel dient is alles geoorloofd.
Puur omdat iets kan, omdat iets makkelijk kan, betekent dat niet direct dat je het ook mag doen. Vind ik. We kunnen ook bermbommen gaan namaken en testen op de A28. Daarmee tonen we vast het falen van een systeem aan. Met dit absurde voorbeeld wil ik aangeven dat iets aantonen en iets uitvoeren twee verschillende zaken zijn.
Hoe zeer een systeem ook faalt en hoe veel belastingcentjes dat ook kost, het is geen rede om als eigen rechter de regels te zetten naar je hand of ze te breken.
Als je dan wilt aantonen dat je met zo'n kaart vrij kan reizen, betaal dan daarnaast wel gewoon voor je rit. En voordat je sites met wellicht strafbare tips gaat promoten, wees je dan bewust dat een groot deel van jouw lezers die info gaat gebruiken.
Sterk betoog :)
Maar goed, de voorwaarde is wel dat het goed werkt, dat de kosten redelijk zijn, dat de privacy van de reizigers wordt gewaarborgd, dat het systeem redelijkerwijs bestand is tegen fraude en dat de implementerende partij verantwoording aflegt over zijn doen en laten. Op de laatste drie punten scoren de faalhazen van Trans Link een vette onvoldoende zoals Brenno heeft aangetoond. Maar om daarom het kind met het badwater weg te gooien is onzin. Directie eruit, publiekelijk mea culpa van de minister, Brenno aanstellen als adviseur en rapido de openstaande vragen oplossen. Mark R., doe ook eens daadkrachtig zijn op dit dossier, wil je?
Ja Strippenkaart = Analoog v.s ov-kaart digitaal
Voortgang is in dit geval een stap terug........
zodra er iets gebeurt volgt er patroon analyse.
en nu niet zeuren, we hebben de politiek zelf onder druk gezet om de dependances van de koningin te vullen.
alsof dat je veiligheid verhoogt, in ieder geval wel de kosten, en er is nog nooit iemand beter uit gekomen.
wat altijd vergeten wordt is dat wie fout wil geen eigen auto/mobiel/reiskaart/of wat dan ook heb.
een hersenspinsel dus, bezigheidstherapie.
en met een beetje pech mogen wij het niet eens beheren omdat de rotzooi in het buitenland staat.
je wou toch minder kosten voor de belastingbetaler zeggen ze dan.
vergetend dat een grote groep overbodig is gemaakt en zonder inkomsten zit.
leve de vooruitgang!
Die lui (lijkt wel de verkeerde meervoudsvorm van lul) vertellen niet tientallen keren van te voren dat het fout is. Die kraken de beveiliging en misbruiken dat gelijk. Als ze de kraak zetten en dan de gegevens aan het bedrijf aanbieden, dan kan ik enigszins waardering voor hen opbrengen. Ook als ze, als het bedrijf niet luistert, het feit openbaar maken. Maar niet als ze, zoals nu, prive informatie van onschuldige derden naar buiten brengen.
Peter
Die Lulz-figuren van laatst hanteerden dezelfde redenatie: Als het een hoger doel dient is alles geoorloofd.
Puur omdat iets kan, omdat iets makkelijk kan, betekent dat niet direct dat je het ook mag doen. Vind ik. We kunnen ook bermbommen gaan namaken en testen op de A28. Daarmee tonen we vast het falen van een systeem aan. Met dit absurde voorbeeld wil ik aangeven dat iets aantonen en iets uitvoeren twee verschillende zaken zijn.
Hoe zeer een systeem ook faalt en hoe veel belastingcentjes dat ook kost, het is geen rede om als eigen rechter de regels te zetten naar je hand of ze te breken.
Als je dan wilt aantonen dat je met zo'n kaart vrij kan reizen, betaal dan daarnaast wel gewoon voor je rit. En voordat je sites met wellicht strafbare tips gaat promoten, wees je dan bewust dat een groot deel van jouw lezers die info gaat gebruiken.
Hoe denk je anders keihard te kunnen aantonen dat er iets mis is?
Gelukkig is er ook: www.persvrijheidsfonds.nl
http://www.nvj.nl/docs/persvrijheidsmonitor-2010.pdf
http://www.ivir.nl/publicaties/hins/persvrijheidsmonitor2009.pdf
Dat de chip niet goed werkt was al bekend voordat aan het project begonnen werd, Brenno wilde laten zien dat misbruik niet te detecteren is. Dat is natuurlijk was heel anders, dit kun je namelijk alleen maar demonstreren in een dergelijke situatie....
Al met al vind het ik eigenlijk gewoon triest dat wij dit als burger accepteren (3 miljard euro, dit houd in dat elke nederlander ongeveer 176,47 heeft betaald voor dit falend systeem.) Een systeem waar niemand om gevraagd heeft, een systeem dat alleen maar noodzakelijk is omdat met wil privatiseren. Kortom het privatiseren wordt door de nederlandse burger betaald, daarnaast weten we uit het verleden dat als we 1 grote klus door 1000 verschillende partijen laten uitvoeren dat deze waarschijnlijk ook 1000 keer hun eigen kosten in rekening brengen wat natuurlijk weer per definitie duurder is als alles in 1 keer uit voeren. Drie maal raden wie dit gaat betalen ......
In mijn (bijna) 40-jarig bestaan, ging ik altijd met véél plezier met het O.V. Wanneer deze kaart er komt, haal ik mijn rijbewijs. Dan maar geen boek lezen in de trein/ bus. TLC kan mijn harige jeweetwel kussen.
Brenno is goed bezig. Waarvoor dank!
[*]
Einde project zelfs iets van 50 gulden op mijn rekening ontvangen. Had ik nog "tegoed", volgens hen...
het idee van de OV chipkaart in Nederland is al in 1994 / 1995 geboren. Er zijn toendertijd wat vervelende zaken geweest op perrons en de OV chipkaart was bedoeld om een vorm van toegangscontrole terug op de perrons te krijgen. het zg perron kaartje te herintroduceren. Deze vervelende zaken zijn uitgebreid in het nieuws geweest en de maatschappij was verbolgen over deze zaken en de politiek werd tot actie gemaand. Jawel door de maatschappij...u en ik.
Daarnaast liepen OV bedrijven tegen investeringsproblemen aan. Elk jaar in de periode september - november werden er op alle lijnen studenten of uitzendkrachten ingezet om een telling te houden hoeveel mensen er nu gebruik maken van die betreffende lijn en dat per OV bedrijf. Dan in het begin van het nieuwe jaar kreeg men een verrekening met de verkochte strippenkaarten en treinkaartjes en had men geld om te investeren. Vernieuwingen lieten vaak op zich wachten.
Met de komst van de huidige OV kaart is het mogelijk om die toegangscontrole in te voeren en de pakkans van oproerkraaiers en asocialen in de maatschappij te vergroten. Daarnaast is het nu mogelijk om eerder investeringen te doen doordat de OV bedrijven binnen 48 uur hun reisgelden hebben.
Wat is er dan misgegaan? Het systeem komt uit hongkong. hier is het een groot succes. Waarom? deze ov kaart wordt daar voor 1 OV bedrijf gebruikt en de verrekening gebeurd binnen dat ene bedrijf. Kortom er is 1 persoon duidelijk verantwoordelijk. En vervolgens zijn andere bedrijfjes aangesloten om die OV kaart als betaalmiddel te kunnen gebruiken. Ook heeft men een eenvoudig tarieven stelsel. Iedereen betaald per gereden kilometer. Ben je senior, kind of student krijg je korting en de rest niet.
In nederland, zijn wel gaan polderen, en moesten alle 15 OV bedrijven met elk hun eigen tarieven structuur op 1 OV chipkaart gezet worden. De hoeveelheid uitzonderingen en regelingen is schrikbarend. Dit allemaal door de invloed van belangenverenigingen, de Ov bedrijven en de politiek.
Het zijn ook die belangenverenigingen, OV bedrijven en die politici die weigerden om de reizigers te overtuigen dat men nu per kilometer moest gaan betalen. Ipv moest het een soort electronische strippenkaart worden.
Waarom is TLS in het leven geroepen? hier is fout nummer 2. OV bedrijven, zijn ambitieus, en wilden zelf een bank beginnen, conform de bankgiro centrale, het huidige equens. Men had beter kunnen kiezen om de kaart productie onder te brengen bij een bestaande bank en op die kennis en ervaring meeliften.
Er zijn rapporten dat het gratis maken van het totale openbaar vervoer goedkoper zou zijn dan de huidig gekozen oplossing. Deze rapporten worden bewust door belangenorganisaties, OV bedrijven en politici in de lade gehouden en men heeft gekozen voor de OV chipkaart.
Daarover heen rennen wat machtswellustelingen die onder de noemer ethical hackers allerlei problemen aan de kaak proberen te stellen.
De problemen zijn allang bekend en die beginnen bij de belangenorganisaties, beroepspolitici en de OV bedrijven. (kijk voor de grap eens welke beroepspolitici in de besturen zitten van de OV bedrijven - opvallend veel GL mensen die ook nog tegen de OV chipkaart zijn)
Technisch gezien is het een goed systeem, enkel door gepolder complex gemaakt. Het moment dat wij die complexiteit weg kunnen nemen en de reizigers per km laten betalen en nog maar 1 a 2 speciale tarieven laten bestaan zijn de problemen qua techniek voorbij.
En tenslotte laat al die zg "ethical hackers" die vooral politiek links georienteerd zijn eens met oplossingen komen ipv altijd maar tomaten te gooien.
90% van alle Nederlanders stemden op de verkeerde partij.
50% van alle Nederlanders begrijpt privacy niet eens.
En Melanie Schultz doet wat ze wil.
We kunnen heel veel discussiëren, maar het helpt geen ene reet.
De ov-chipkaart is een feit.
Jij misschien wel, maar 85 % gaat wel reizen met de OV-faal kaart.
Dus het doel is hiermee NIET bereikt.
Nederlanders zijn niet solidair
Maar Benno wil dat vakkundig om zeep helpen.. verdomd, hij is net dat beterwetertje die we allemaal in de klas hadden en na schooltijd even opwachten om een paar petsen te verkopen.
Zachte heelmeesters, maken stinkende wonden, Benno.. je had gewoon je mond moeten houden en de burgerij laten genieten van de onkunde van de elite. En te zijner tijd zullen de verantwoordelijke hun stompzinnigheid inzien en verliezen hun geloofwaardigheid en daardoor hun positie onhoudbaar. Zo werkt het en heeft het altijd gewerkt in het smerige politieke spel.
ps. kloek8, ik sta geheel achter jou initiatief. *thumbs up*
De strippenkaart werd 'afgemaakt' door kritische journalisten en reizigers. Nu weer hetzelfde poldergeneuzel in Nederland. Altijd zeuren over nieuwe dingen...Weet men wel hoeveel fraude er met de strippenkaart werd gepleegd? Met plakbandjes afplakken etc....Die fraude overstijgt maal X de fraude van de OV Chipkaart!
De OV Chipkaart is een aanvulling op het geheel en men moet even de tijd nemen en afwachten tot het systeem ook technisch geheel klaar is. Bij TLS zit veel kennis en ze hebben ook nog eens te maken met de politiek in Nederland. Iedereen weet hoe het gaat als je daarvan afhankelijk bent.... De politiek bepaald namelijk de snelheid van invoeren in NL.
Die nephacker van een journalist moet iets anders gaan verzinnen i.p.v. het aanzetten tot fraude. Hoop dat hij met als die onrust die hij veroorzaakt aangepakt wordt.
Het bedrijf TLS is trouwens gewoon een Besloten Vennootschap. Ik begrijp dus ook niet waarom er geziek is over de beloning van de Directie. Een BV kan haar directeuren uitkeren conform wat is afgesproken en de Balkenende norm is hier dus niet van toepassing. Kijk naar bedrijven als Philips, Unilever etc, zijn ook NV's en BV's, daar praat men ook niet over een Balkende norm want dan komt er geen direteur die er wil werken namelijk...
simple as that.
Ik hoef niet vaak de stad uit, maar als het dan toch moet, ga ik wel op de duim. Ben op die manier nog altijd gekomen, waar ik wezen moest.
simple as that.
Ik hoef niet vaak de stad uit, maar als het dan toch moet, ga ik wel op de duim. Ben op die manier nog altijd gekomen, waar ik wezen moest.
Waar ga je precies zitten op de duim dan?
Hij gaat zo zitten dat hij er niet afvalt
Er zijn rapporten dat het gratis maken van het totale openbaar vervoer goedkoper zou zijn dan de huidig gekozen oplossing. Deze rapporten worden bewust door belangenorganisaties, OV bedrijven en politici in de lade gehouden en men heeft gekozen voor de OV chipkaart. "
Datdacht ik ook, waarom isdat gratis OV precies afgewezen, was 'goedkoper' minder werkgelegenheid? Ik denk dat er veel werkverschuiving was geweest eneen voornaam bezwaar zal zijn geweest tegen vrij OV: dat de olieboeren dan gedwongen hun prijzen verlagen (die zijn toch al doorlopend opgeschroefd).
Volgens mij was de boost op een brede economische opleving door vrij OV enorm geweest. Nu bedenkt men zich wel 3 x voordat geld uitgegeven wordt aan het smeermiddel der economie bij uitstek: vervoer.
En dus draait er dan al 3 x MINDER economie.
Het besef leeft niet bij de politiek hoeveel geld daardoor verloren gaatomdat het niet goed rolt (en nu teveel de hoeken in waar men al overschot heeft.
Waar ik actueel bij die OVchipkaart niets over las, is de hoge kwetsbaarheid van reizigers qua privacy (traceerbaarheid) en de enige redenen die ik nog vond dat Justitie hiervan de preventieve verantwoordelijkheden niet neemt, is o.a.(!) Het feit dat al vele jaren hun secretaris-generaal bekend staat als pedofiel met een kennelijk dubbele diplomatieke onschendbaarheid. Van corruptie komt menpas terug ws , als het telaat is geworden.
De ov-chipkaart is een bizarre aanval op de privacy en tevens oplichting van het ergste soort.
Die kaart had er -nooit- mogen komen..
Wie of welk departement van de overheid heeft er trouwens een handtekening gezet voor de goedkeuring van dit verschrikkelijke (te dure) belachelijke privacy-schendende systeem ?
Wat verdienen de mensen in de ov-oplichtingsbranche ?
Beste Brenno, maak inzichtelijk wat voor een bedragen er rondgaan op de ov-chipkaartrekeningen en de schandalige woekerwinsten die ze daarmee genereren.
Succes !
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
