Connexxion
Op dit moment geen direct risico voor OV-chipkaart
In Nijmegen gekopieerde wegwerpkaart heeft andere
beveiliging Â
Sinds 2 januari geldt een verhoogde mate van alertheid bij Trans Link
Systems, het bedrijf dat in Nederland de OV-chipkaart uitgeeft. Op dat
moment werden de eerste berichten bekend over een presentatie van
onderzoekers op een Berlijns computercongres. De contactloze NXP chip,
die ook in de OV-chipkaart wordt gebruikt, zou zijn gekraakt. Dit
soort berichten wordt nauwlettend in de gaten gehouden. De
gepresenteerde resultaten in Berlijn tonen aan dat het geheime
beveiligingsalgoritme van de chip zeer waarschijnlijk bekend is. De
veiligheid van de chipkaart is niet uitsluitend afhankelijk van deze
standaard beveiliging. De chip is namelijk nog aanvullend beveiligd
met meerdere beveiligingsmechanismen.
De conclusie van Trans Link Systems is, dat op dit moment geen direct
risico bestaat voor de veiligheid en veilig gebruik van de kaart.
In de algemene voorwaarden staat dat directe financiële schade, bij
misbruik als gevolg van een 'gekraakte'chip, aan reizigers zal
worden vergoed. Jeroen Kok, algemeen directeur van Trans Link Systems:
'Wij betreuren de onrust die is ontstaan bij reizigers, OV-bedrijven,
politiek en andere belanghebbenden.'
Eerste resultaten TNO onderzoek
Trans Link Systems heeft TNO meteen na de eerste berichten over de
gekraakte chip gevraagd een spoedonderzoek uit te voeren naar de
impact van de Berlijnse bevindingen. Dit om te bepalen of er sprake is
van een direct risico voor de beveiliging van de OV-chipkaart. Na het
bestuderen van de gepresenteerde onderzoeksresultaten in Berlijn
concludeert TNO dat de resultaten geloofwaardig zijn, maar dat er op
dit moment geen direct risico voor de OV-chipkaart bestaat. Afgaande
op de in Berlijn gepresenteerde resultaten lijken de sleutels van het
standaard NXP beveiligingsmechanisme nog intact en zal het
waarschijnlijk nog maanden tijd kosten de sleutels voor één
individuele kaart te kraken. Daarnaast stelt TNO dat in het
OV-chipkaart-systeem meerdere aanvullende beveiligingsmechanismen
actief zijn.Â
Jeroen Kok: 'Iedere kaart heeft een individuele, unieke sleutel. Het
kraken van één kaart betekent daarmee dus niet dat alle kaarten zijn
gekraakt. De OV-chipkaart is op dit moment dus veilig'.
Meerdere lagen van beveiliging
De OV-chipkaart maakt gebruik van de zogenaamde Mifare Classic 4K chip
die wordt geleverd door NXP, een voormalige divisie van Philips. Bij
de keuze voor deze chip zijn beproefde technologie en reeds goede
ervaringen in de praktijk de belangrijkste uitgangspunten geweest. De
chip wordt ook in het buitenland op grote schaal gebruikt. Wereldwijd
zijn hiervan meer dan 1 miljard in omloop, voor diverse toepassingen
waaronder openbaar vervoer. Andere bekende technologieën, die beter
en veiliger zouden zijn, waren destijds minder beproefd. In de
OV-chipkaart zijn meerdere lagen van beveiliging aangebracht. Zo zijn
er onafhankelijk van NXP, voor Nederland specifieke
beveiligingsmaatregelen geïmplementeerd, die de
OV-chipkaartapplicatie aanvullend beschermen. Ook worden alle
transacties met de OV-chipkaart continu geanalyseerd en kunnen kaarten
waarvan het gebruik verdacht is aan een blokkeringslijst worden
toegevoegd. Jeroen Kok: 'De gelaagde beveiliging die wij in Nederland
extra hebben aangebracht is nog grotendeels intact'.
Nu de eerste laag van beveiliging gekraakt is en op termijn niet
voldoende betrouwbaar meer zal zijn, zal de vraag aan TNO worden
gesteld te onderzoeken wat het effect hiervan is op het geheel van
maatregelen.
Hiertoe wordt aan TNO opdracht gegeven. In deze opdracht zal het
geheel van maatregelen, in de meerdere lagen op de chip en in de
backoffice, worden onderzocht. TNO verwacht eind februari met de
eerste resultaten van dit onderzoek te komen.
OV-bedrijven en TLS vragen Jeltje van Nieuwenhoven bij vervolgstappen
In het belang van openheid en transparantie nodigen de OV-bedrijven en
Trans Link Systems Jeltje van Nieuwenhoven - OV-ambassadeur- uit mee
te kijken met de vervolgstappen die worden gezet. Jeltje van
Nieuwenhoven heeft inmiddels positief op deze uitnodiging gereageerd.
Ook consumentenorganisaties en andere belanghebbenden zullen worden
betrokken.
Beveiliging en voorkomen van fraude is een continu proces
Jeroen Kok: 'Er bestaan geen systemen die 100% veilig zijn. Iedere
technologie wordt op den duur gekraakt en dient qua beveiliging
continu up-to-date te worden gehouden'. Ook Trans Link Systems heeft,
net als veel andere bedrijven, een continu proces ingericht om
beveiligingsmaatregelen op adequaatheid te evalueren en om fraude te
voorkomen. Hiertoe werkt zij samen met experts en hackers. Trans Link
Systems heeft contact gezocht met de onderzoekers van de Berlijnse
presentatie om te polsen of zij bereid zijn hierbij te ondersteunen.
De onderzoeksresultaten van TNO, maar ook bijvoorbeeld het nieuws uit
Nijmegen over een gekopieerde wegwerpkaart, is input voor het continue
beveiligingsproces van Trans Link Systems. Zo wordt bepaald of huidige
maatregelen voldoende zijn en of er aanvulling of andere technologie
benodigd is.
Jeroen Kok: 'Gisteren werden wij geconfronteerd met het nieuws dat de
papieren wegwerp variant van de OV-chipkaart succesvol gekopieerd is
door studenten van de Radboud-universiteit in Nijmegen. Deze
wegwerpkaart kent een andere beveiliging dan de reguliere
OV-chipkaart.' De papieren wegwerpkaart wordt gebruikt voor producten
met een lage waarde, veelal voor eenmalig gebruik. Het mindere
beveiligingsniveau maakt de kaart kwetsbaar voor vervalsen. Jeroen
Kok: 'Dit is al eerder gebeurd. Toen zijn extra maatregelen getroffen
waarvan er nog een aantal geïmplementeerd moet worden. Dit gaan we nu
ook doen.'
Geen financieel nadeel voor de klant
De OV-chipkaart kan op dit moment veilig worden gebruikt. Het gebruik
is veilig en het saldo op de kaart is veilig. Het schadeloosstellen
van reizigers staat geformuleerd in de Algemene Voorwaarden
OV-chipkaart. Jeroen Kok: 'Zelfs als reizigers toch als gevolg van de
gekraakte beveiling gedupeerd zouden raken, wordt de directe
financiële schade vergoed.'
Â
Â
Bron: persbericht Communicatie coördinatiepunt, 15 januari 2008
Innovatie
* OV-bedrijven werken met vertrouwen aan gedegen en solide invoering
OV-chipkaart
* Op dit moment geen direct risico voor OV-chipkaart
* OV-bedrijven verheugd over helderheid Cbp-rapport