Trouw

January 9, 2008  
woensdag

Zorgen over fraude na kraken ov-chip; 
Hackers achterhalen code, uitgever TLS haalt schouders op; 
Ov-chipkaart

BYLINE: Vincent Dekker

SECTION: VANDAAG; Blz. 2-3

LENGTH: 591 woorden

SAMENVATTING:
Duitse computerdeskundigen hebben de geheime code in de ov-chipkaart weten te kraken. De Tweede Kamer wil weten of de kaart nog wel zo veilig is als wordt beweerd. 

VOLLEDIGE TEKST:
De ov-chipkaart is makkelijk te kraken en daardoor erg fraudegevoelig, aldus computerdeskundigen. Trans Link Systems (TLS), het bedrijf dat de kaart uitgeeft, zegt zich echter weinig zorgen te maken. 
Tijdens een bijeenkomst van de Chaos Computer Club in Berlijn, eind vorig jaar, lieten twee Duitse onderzoekers zien hoe zij de geheime code van een zogeheten Mifare-chip wisten te achterhalen. Op dit type chip is de ov-chipkaart gebaseerd die alle trein- en andere vervoerkaarten moet vervangen.
De onderzoekers hebben de chip laagje voor laagje afgeveild en telkens foto's gemaakt. Zo konden zij patronen op de chip herkennen en vervolgens ook het algoritme achterhalen waarmee een geheime code is versleuteld. Elke chip heeft een 'ingebakken' eigen nummer. Omdat dit nummer uit 16 bits (enen en nullen) is opgebouwd, zijn ruim 65.000 nummers mogelijk. Met behulp van het gekraakte algoritme kan nu het nummer van een chip worden achterhaald.
Een ov-chipkaart werkt in principe met twee nummers: het door NXP ingebakken nummer en een klantnummer dat TLS daar softwarematig aan toevoegt als er een ov-chipkaart wordt aangemaakt. TLS registreert ook de betalingen die met de ov-chipkaart voor een reis worden gedaan. Daarbij kijkt TLS of klantnummer en ingebakken nummer wel bij elkaar horen. Omdat het laatste niet te achterhalen leek, zou een ov-chipkaart niet te kopiëren zijn. Als de hackers gelijk hebben, is die beveiliging nu doorbroken.
Volgens TLS is dat niet het geval. "Wij voegen nóg een sleutel toe en zolang je die niet hebt, kun je de geheime code toch niet kraken", aldus een woordvoerster. "Ook vormt die code slechts een deel van onze beveiliging. Volgens ons is er dan ook geen enkele reden om de ov-chipkaart uit de handel te nemen."
Wouter Teepe, onderzoeker veiligheid van systemen aan de Radboud Universiteit in Nijmegen, verbaast het niet dat de Mifare-chip is gekraakt. "Daarmee is overigens nog niet aangetoond dat het hele systeem ook is gekraakt. Nog niemand is met een gefraudeerd kaartje of apparaatje langs een poortje gelopen om ook dat te bewijzen." Het kraken van de chip kan echter wel heel goed een eerste stap daarvoor blijken te zijn, aldus Teepe.
Dat de chip gekraakt kon worden, is een gevolg van de filosofie achter de chip. Teepe: "Je maakt een relatief eenvoudige beveiliging maar vertelt niemand hoe die werkt. Security by obscurity noemen we dat. Zoiets werkt op de korte termijn. Maar je trekt er wel mensen mee aan die het een sport vinden om die beveiliging te kraken en dat lukt na een tijdje."
Volgens de veiligheidsdeskundige is het beter om goed te documenteren hoe een systeem werkt, en die documentatie publiek toegankelijk te maken, zodat wetenschappers en hackers kunnen controleren of de beveiliging inderdaad zo goed is als dat beweerd wordt.
De beveiliging bij de ov-chip is relatief eenvoudig, mede omdat de chip goedkoop moest zijn. "Zij kost hooguit enkele dubbeltjes; chips met een betere, althans zo geclaimde, beveiliging zijn stukken duurder, al snel een paar euro", schat Teepe.
"Als TLS zegt dat ze nog een extra versleuteling over de beveiliging heengooien, zeg ik: 'Prima. Maar laat me dan ook zien hoe die versleuteling werkt. Als ze dat niet gedetailleerd aangeven, blijft het security by obscurity en kan ik niet nagaan of het echt veilig is. Iemand op zijn blauwe ogen geloven, doe ik niet'."

LOAD-DATE: January 8, 2008

LANGUAGE: DUTCH; NEDERLANDS

NOTES: Beveiliging relatief eenvoudig om kosten te drukken; 'Zelfde fout als bij stemcomputer'; Rop Gonggrijp was erbij, eind december tijdens het jaarlijkse hackers-congres in Berlijn, toen de chip werd gekraakt die in de ov-chipkaart zit. De 'peetvader' van het Nederlandse web zag met eigen ogen hoe Duitse onderzoekers de beveiliging omzeilden. Gonggrijp: "Als de uitgever van de ov-chipkaart, TLS, nu zegt dat er niks aan de hand is, kan dat niet waar zijn."; Gonggrijp heeft recht van spreken, hij is hacker van het eerste uur. In 1989 lanceerde hij het eerste tijdschrift over internet: Hack-Tic. Dat stond in 1993 aan de basis van de nog immer gerespecteerde internetprovider XS4ALL. Eind jaren negentig begon hij een bedrijf in computerbeveiliging en in 2006 nam hij het initiatief tot 'Wij vertrouwen stemcomputers niet'. Die actiegroep toonde aan dat de stemvoorkeur via radiosignalen makkelijk op afstand kon worden uitgelezen. Het kabinet besloot daarop noodgedwongen om bij de volgende verkiezing weer met het vertrouwde rode potlood te laten stemmen.; Gonggrijp: "In feite hebben we nu weer iets vergelijkbaars. De fabrikant zegt dat zijn systeem veilig is, maar houdt geheim waarom. Waarna even later blijkt dat het toch niet veilig is."

GRAPHIC: 09VAvandaagA_ph01, De poortjes die moeten bijdragen aan een veiliger openbaar vervoer, zijn volgens hackers met gefraudeerde chips te misleiden., FOTO OTTO SNOEK
09VAvandaagA_ph02

PUBLICATION-TYPE: Krant


Copyright 2008 PCM Uitgevers B.V.
All Rights Reserved