Beveiligingslek in chip van OV-chipkaart ontdekt
Onderzoekers aan de Radboud Universiteit hebben een kwetsbaarheid in de Mifare Classic-chip ontdekt die door de OV-chipkaart en allerlei andere toegangspassen wordt gebruikt. Daardoor is het mogelijk om de encryptie van de chip in enkele minuten te kraken, iets wat zonder het lek weken zou duren, zo meldt Nu.nl. Vorige week had de Radboud Universiteit zelf al aangekondigd dat veel beveiligingschips nog altijd niet veilig zijn
Zodra de encryptie is gekraakt kan informatie op de chip zowel worden uitgelezen als aangepast. Een aanvaller kan bijvoorbeeld het saldo van de OV-chipkaart aanpassen, locaties waar is ingecheckt aanpassen of codes van toegangspassen kopiëren om zo ergens zonder toestemming binnen te komen.
De kwetsbaarheid werd door de Digital Security Group van de Radboud Universiteit in Nijmegen ontdekt. De onderzoekers rapporteerden de kwetsbaarheid bij chipleverancier NXP. Het bedrijf zou later, als de onderzoekers hun rapport hebben gepubliceerd, met een uitgebreide reactie komen. Het oplossen van de kwetsbaarheid in getroffen chips is niet mogelijk.
Geen fraude
Translink Systems, het bedrijf achter de OV-chipkaart, laat in een reactie op de eigen website weten dat er op dit moment geen fraude plaatsvindt. Volgens het bedrijf is de OV-chipkaart nog steeds een betrouwbaar betaalmiddel. "Beveiliging is een kat- en muis spel dat continu aandacht vraagt. Het is een onderdeel van de reguliere bedrijfsvoering van Translink. Fraude helemaal voorkomen, is helaas onmogelijk." In het geval er fraude met een kaart wordt gedetecteerd zal Translink de kaart blokkeren en aangifte doen.
Zwakheden
Op 21 april zal Roel Verdult, lid van de Digital Security Group, over zwakheden in wereldwijd gebruikte encryptietechnieken promoveren. Verdult legde zwakheden van de OV-chipkaart al in 2008 bloot toen hij nog student was. Volgens de onderzoekers is het grote probleem de propriëtaire cryptografie, door bedrijven zelfgemaakte versleutelingstechnieken. Deze encryptie zit in een groot aantal producten.
"Juist de dingen die een beetje onder de tafel blijven intrigeren me. Organisaties die zeggen dat hun systeem heel veilig is, maar niet hoe. Waarom zeg je dat dan? Als het veilig is dan moet je het onderliggende algoritme openbaar kunnen maken", laat Verdult weten. Doordat bedrijven de algoritmes geheim houden zitten er ook veel fouten in. "Die fouten zitten veel minder in de versleutelingen die openbaar zijn, omdat ze door iedereen getest kunnen worden totdat de beste overblijft", stelt Verdult.
De onderzoeker pleit er dan ook voor om de zelfgemaakte geheime versleutelingstechnieken te vervangen door veel robuustere openbare technieken. "Deze zijn overigens al decennia lang openbaar, en kosteloos toepasbaar. Helaas laat de praktijk zien dat dergelijke technieken niet altijd worden toegepast."
Ze gaan er inderdaad vanuit dat alle reizigers potentieel-crimineel zijn en behandelen je daar ook naar, en maar nauwlijks als betalende reiziger.
Je bouwt daar een systeem, je maakt er een zooitje van en het resultaat is brak en krakkemikkig, er moet extra geld bij en het helpt alweer niet, je belooft verbeteringen en je levert niet, en je gaat publiekgemaakte gaten expres niet oplossen want "daar leer je van". Ja hallo. Je had ook die moeite kunnen steken in iets waar de reiziger wat aan heeft. Maar dat is natuurlijk weer geen prioriteit.
Altijd leuk overigens om de tweede kamer er weer over te horen, dat het echt anders moet, zoals vandaag over beboeten van abonementhouders waar er iets mis is met inchecken (wellicht het paaltje). Ze hebben met open ogen dit kapotte systeem ingevoerd tegen alle eerdere mitsbeloftes in. TLS bestaat nog, dus heeft de kamer gefaald.
En TLS maakt nog altijd verlies, en dat maakt ze niet uit. Ze gaan over een paar jaar toch stoppen, want dan gaan we over naar de nfc in je telefoon of bankpas. Dus waarom zou je nog voor twee jaar iets gaan doen.
Ik krijg idd ook steeds meer de drang om juist te gaan frauderen met zo'n ov-kaart. Elke keer maar weer zeggen dat het te lastig is, en te theoretisch. De eerste kaart was ook in no time gekraakt. Ik heb nog zo'n card reader/schrijver :D We wachten af op de software dat toch wel gaat komen om zelf je kaart weer op te waarderen.
TheYOSH
Hoe kan ik anders dan me daarbij aansluiten?
redelijke eis, maar tegenwoordig kun je je afvragen of dat nog wel nodig is.
Als je eist dat alle terminals online zijn (of minstens dat ze om de paar minuten kunnen communiceren) dan kun je het
hele probleem oplossen door de kaarten alleen maar een uniek nummer te geven (hebben ze al), en de terminals dit
nummer naar het centrale systeem te laten communiceren wat alle extra zaken als reisproducten, saldo, status e.d.
bijhoudt. Hetzelfde als bij een PINpas. Sterker nog, je kunt alle kaarten van derden (zoals de moderne PINpas met NFC)
ook accepteren als OV Chipkaart, zodat de mensen niet meerdere kaarten hoeven te hebben als ze dat niet om een
andere reden willen (bijvoorbeeld privacy).
Frauderen kan niet meer, je kunt hooguit nog copieen maken van een kaart en die copieen werken dan op hetzelfde saldo,
net als een geskimde PINpas in de magneetstriptijd. "kraken van encryptie" is er niet meer bij of is niet meer nuttig.
Het enige nadeel is dat alle status dan moet worden bijgehouden, maar dat is in het OV Chipkaart systeem geen nadeel
meer omdat dat toch al gebeurt.
Jawel, dat is het wel, in ieder geval in aanvullende zin.
Alleen is het niet de methode die TLS hoort te gebruiken omdat er betere alternatieven voor handen zijn en het belang te groot om dergelijke risicos's te nemen.
redelijke eis, maar tegenwoordig kun je je afvragen of dat nog wel nodig is.
Door een "atijd aan de lijn"-afhankelijkheid toe te voegen maak je het systeem niet robuuster.
hele probleem oplossen door de kaarten alleen maar een uniek nummer te geven (hebben ze al), en de terminals dit
nummer naar het centrale systeem te laten communiceren wat alle extra zaken als reisproducten, saldo, status e.d.
bijhoudt.
ook accepteren als OV Chipkaart, zodat de mensen niet meerdere kaarten hoeven te hebben als ze dat niet om een
andere reden willen (bijvoorbeeld privacy).
net als een geskimde PINpas in de magneetstriptijd. "kraken van encryptie" is er niet meer bij of is niet meer nuttig.
meer omdat dat toch al gebeurt.
Met andere woorden, de betalende reiziger is slechter af en de bedrijven zijn ook slechter af. De enige die er garen bij spinnen zijn de lui van TLS die "veel leren" van het tegen beter weten in in de lucht proberen te houden van hun bij uitrol al doorgerotte systeem, onderwijl heldhaftig strijdend tegen al die gemene reizigers.
Wat dat betreft is het hele ov-chipkaartsysteem een goed voorbeeld van alles wat verkeerd kan gaan in een ict-projectje, inclusief het argument wat jij aanvoert. We betalen al dubbelveel extra voor "die laatste vijf procent" en niemand is er blij mee.
Dat is toch wel een klein verschilletje met dat negentien jaar ontwikkelde systeem dat desondanks met vele kinderziektes in de markt geplempt werd en ook maar gelijk onontkoombaar verplicht gesteld.
* In de grote steden doet het dat ook, maar op het platteland, waar toch al weinig zwartgereden werd, is het verlies aan betalende klanten vele malen groter dan de winst van minder nietbetalende "klanten". Denk zwartrijden gedaald van één tot een half procent op het reizigersvolume en reizigersvolume met een kwart (25%) gedaald.
Hiermee kon ik mijn reishistorie nagaan, maar inmiddels heb ik een nieuwere kaart, en die kan ik met de kaartlezer
niet meer uitlezen.
En voor zover ik weet is er geen software die met genoemde kaartlezer de nieuwe kaarten kan uitlezen.
Dus hoezo OV kaart is te kraken!
Een papieren kaartje? Is jarenlang goed gegaan.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
