Nieuwe chip in OV-chipkaart voorkomt fraude
Trans Link Systems heeft een nieuwe chip in de OV-chipkaart gestopt, die fraude moet tegengaan, zo laat het bedrijf op de eigen website weten. "Deze nieuwe chip biedt een hoger niveau van beveiliging tegen de huidige fraudescenario’s", aldus het bedrijf, dat de chip in stilte invoerde. Sinds augustus zouden kaarten met de veiligere chip zijn uitgegeven.
De nieuwe chip is wat gebruik betreft identiek aan de huidige chip, maar biedt extra beveiliging. Voor deze ontwikkeling is nauw samengewerkt met de Radboud Universiteit in Nijmegen. "Trans Link Systems heeft met een frisse open houding de nieuwe ideeën in een vroeg stadium met ons besproken. Hierbij werd snel duidelijk dat het om echte technische verbeteringen gaat. Onderzoekers Roel Verdult en Eric Verheul hebben aanvullende maatregelen voorgesteld die door TLS zijn beoordeeld en gerealiseerd", zegt hoogleraar computerbeveiliging Bart Jacobs.
Volgens Jacobs is de samenwerking een goed voorbeeld van hoe een wetenschappelijke instelling een maatschappelijke bijdrage kan leveren. De invoering van de nieuwe chip vindt gefaseerd plaats in verband met de bestaande voorraad OV-chipkaarten. Reizigers zouden niets van de invoering merken.
Hacksoftware
Volgens Trans Link Systems werkt de huidige hacksoftware die op internet wordt aangeboden, en waarmee fraude plegen mogelijk is, niet meer met de nieuwe chip. "Dit wil niet zeggen dat er geen fraude meer mogelijk is. Fraude met de OV-chipkaart wordt lastiger en vooral onaantrekkelijker. 100% beveiliging is niet mogelijk."
Update 17:35
Nu.nl meldt dat Trans Link Systems de Infineon SLE-66 chip voor de chipkaart gebruikt. Deze chip zou vorig jaar al gekraakt zijn door onderzoekers van Flylogic.
en ik ga er vanuit dat die kaart sneller gehackt gaat worden als de voorganger.
Verder is dit dezelfde 'oplossing' als met de EMV chip. De chip is veilig(er) maar zolang de magneetstrip er nog op zit voor backup, is het nog steeds lek. Net zolang de 'oude' passen nog steeds werken, kan er nog steeds worden gefraudeert. En aangezien ze compatible zijn....... Wie houdt een boze reiziger tegen om nog steeds met de MIFARE Classic te blijven reizen dan?
Regel 1: Als het maar lang genoeg 95% veilig is ten opzichte van de waarde van de informatie is het goed genoeg.
Regel 2: als de huidige kosten - en in een beperkte toekomst - hoger zijn dan de waarde van de informatie? Ga je gang.
Aan beide regels voldoet de infineon - nog -.
Dat neemt niet weg dat voor deze oplossing waarschijnlijk is gekozen in verband met de infrakosten en niet met de veiligheid. Dat mag, maar publiceer dát dan ook! En publiceer dan meteen dat het niet de schuld van TLS is, maar van de deelnemende bedrijven die geen budget geven aan hun dochter............... Dat is veel erger, maar zal TLS nooit zeggen.
Nu.nl meldt dat Trans Link Systems de Infineon SLE-66 chip voor de chipkaart gebruikt. Deze chip zou vorig jaar al gekraakt zijn door onderzoekers van Flylogic.
Gelukkig ligt er nog andere kraak HW te verstoffen. De filmpjes, downloads........ zullen binnenkort wel weer verschijnen.
Hadden ze bij Radboud dit niet eerder kunnen zien?
Ben toch een goede 1.5 tot 2 seconden aan het wachten terwijl mijn oude kaart het binnen een split-second voor elkaar had.
Per jaar kost het OV iets van 1,7 miljard euro, waarvan 1,1 betaald wordt door de overheid, dit heeft dus niks te maken met de OV kaart.
Als je de bezuinigingen meetelt die het gratis maken van het OV-vervoer oplevert, en de miljarden extra overheids subsidie voor de ov-chipkaart meerekent, hadden we dus in plaats van het hele ov-chipkaart traject ook gewoon gratis kunnen reizen.
En mischien was dat zelfs wel goedkoper...
Bedenk ook dat de overheid met de standaard OV-subsidie al tenminste 170100 Euro per jaar meebetaald aan het loon van de TLS directeur. Als we daar ook nog de OV-chipkaar subsidie bijrekenen hebben we dus al gauw meer dan een miljoen euro op de bankrekening van de directeur gestort.
Plus :
Het leidt af van de belangrijke, fundamentele vragen over gebruik van persoonsgegevens, volgen en opslag van reisgedrag, onoverzichtelijke kosten voor zowel reiziger als belastingbetaler (die opdraait voor een hoop ov-kosten), enzovoort.
Wie zijn de verantwoordelijken ?
Zodra de kaart een unieke sleutel heeft zijn alle gegevens daarop dus ook meteen onderhevig aan: Juist, CBP met persoonsgegevens. Zo kan namelijk via de software wel heel makkelijk een anonieme gebruiker worden getracked.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
