De OV-chipkaart is de beoogde elektronische vervanger van de strippenkaart. Heel het openbaar vervoer in Nederland zou er binnenkort mee moeten gaan werken. Maar of dit nog gaat gebeuren is maar zeer de vraag.
Er was altijd al veel weerstand tegen de OV-chipkaart vanwege het feit dat het reisgedrag van ieder individu zo makkelijk te volgen was. Maar begin dit jaar kwam de OV-chipkaart pas echt in zwaar weer terecht toen bleek dat de beveiliging te breken was.
Dat was echter niet voldoende reden om het hele circus maar af te blazen. Het was immers alleen mogelijk voor echte hackers met de nodige apparatuur om dit voor elkaar te krijgen, en dan alleen nog maar tijdelijk. Hoewel menig expert aangaf dat dit gat in de beveiliging slechts het begin was, vond men het toch een te nemen risico.
En zo konden we vrijdag nog lezen dat de OV-chipkaart nu ook in Amsterdam breed ingevoerd gaat worden.
Maar misschien dat na vandaag de farce eindelijk stopt.
Brenno de Winter, de journalist die al heel lang op deze zaak zit, meldt vandaag op Webwereld dat de broncode voor het klonen van de chip op straat ligt.
En met die broncode (Crapto1), een bepaald type Nokia mobiele telefoon en wat goede wil, heb je zo een “scanner” om andere chips uit te lezen en de gegevens te gebruiken. Het is alleen nog wachten op iemand die een “hack de OV-chipkaart voor dummies” programma maakt en verspreidt en iedereen kan aan de slag. Als dit niet voldoende reden is om de OV-chipkaart zoals die nu is te stoppen, dan vermoed ik een complot van de autolobby.
Beter ten halve gekeerd dan ten hele verdwaald gaat het gezegde. Nu stoppen, uithuilen en goed nadenken over een oplossing die de privacy niet aantast en wel echt veilig is.
Reacties (47)
Ik heb er verder geen verstand van, maar kunnen ze dan niet gewoon een nieuwe chip met broncode maken? Of zie ik dat te gemakkelijk;)
Dat is nog eens een goed idee, kittekat! :-)
Maar verder, denk je dat deze kleine tegenslag ze nog gaat tegenhouden?
Volgens mij moet je dat gezegde nog maar eens goed verifiëren. Zul je zien dat het nóg beter je argumenten kracht bij zet. 8-)
nou, al die scannertjes zijn nou net in de tram geinstalleerd, dit hele project gaat gewoon door hoor – men zal er simpelweg op gokken dat de ‘gewone man in de straat’ zich niet bezig houdt met het kraken van chips ook al kan hij op internet lezen hoe het moet. en zo is het ook.
Heeft die Oyster Card in london ook zoveel problemen gehad?
Wat een ge… prima dat die kaart gekopieerd kan worden. Geen enkel betaalmiddel is waterdicht.
Nu treint/bust een behoorlijk deel van de mensheid gratis door gewoon geen kaartje te kopen. Het lijkt me nog steeds veilig om aan te nemen dat dat zelfs met een brakke chip minder gaat worden.
Ik heb ergens het idee dat het grotere probleem de toegang tot stations is; in een metro systeem met buizen is het makkelijker dicht te gooien, maar NS stations met hun open peron systeem lijken me een makkelijke prooi, of blijven er conducteurs rondlopen?
Eén kaartje met een lange geldigheidsduur dat je op allerlei plekken kunt kopen, op alle trajecten kunt gebruiken en per zone kunt afstempelen, zou dat wat zijn??
Noemen we het de zonestrip, ofzo.
@8 : nee, er moet perse electronica in de strijd gegooit worden. Het lastige is ook wel natuurlijk dat als je bijvoorbeeld jouw idee toepast, dat de buschauffeur in Venlo moet weten hoeveel strippen jouw reis naar Leeuwarden is, dus inclusief bus, trein etc., of heb je daar een ander idee voor?
An sich zou hij daar misschien een soort computertje voor in de bus kunnen krijgen natuurlijk, misschien niet eens zo’n slecht idee. Het zou in ieder geval inzichtelijker zijn voor veel mensen.
@6: Ik weet het niet hoor. Zonder vervoersbewijs is de kans betrapt te worden erg groot. Mijn ervaring is dan ook dat het in deze regio nauwelijks gebeurt (in de bus heb ik bv. op tienduizenden trips en honderdduizenden reizigers maximaal 2 keer iemand onbetrapt zien zwartrijden). Met zo’n gekloonde kaart kun je gewoon instappen, zonder dat een gewone buschauffeur of conducteur je kan betrappen.
@Maarten:
Nee, perrons van de NS worden ook afgesloten met een poortje.
Het probleem is alleen wel dat de in- en uitstroom hier onder te lijden heeft.
Bij de bottlenek voor de poortjes ontstaan nu ideale zakkenrol plekken.
Familie of vrienden ophalen van het perron of uitzwaaien als de trein vertrekt kan dan ook niet meer (leuk in het licht van Balkenende’s VOC mentaliteit. Het uitzwaaien van je partner doei je maar thuis. De staat als moordenaar van de romantiek)
Er is een tien jaar oud chipje gekraakt, vanwaar al die verontwaardiging? Upgraden naar het laatste model lijkt mij het devies. En over 10 jaar weer. Net zoals dat nu ook gebeurt met geld, paspoorten, rijbewijzen en strippenkaarten, bijvoorbeeld.
Heeft iemand een aluhoedje voor mijn jaartrajectkaart?
De Nijmeegse onderzoekers die de kraak gezet hebben, denken dat de kaart met wat lapmiddeltjes nog een paar jaar meekan, zodat er de tijd is om een nieuwe generatie chips in de kaart te gaan inbouwen.
@11: Laten we hopen dat het bij die moord blijft.
Wat kost het allemaal, zo elke paar jaar upgraden?
“This chipcard is dead sir!”
“No it’s not, its just resting…”
Gratis OV in Amsterdam en London. Hoera!
Mensen hebben er flink wat stennis voor over om met strippenkaarten te kunnen blijven frauderen zeg…
Ik denk niet dat het met het frauderen van de stirppenkaart te maken heeft. Als je een controle tegenkomt heb je gewoon zowieso een probleem.
De OV chipkaart geeft mij echter een middel in handen om te frauderen en door de controles heen te komen. Ga maar na hoeveel geld je daarmee uit kan sparen als zijnde een arme student of iemand die het wat minder heeft en met het OV op zijn werk komt.
De investering van die ene nokia telefoon heb je dan zo terug verdient
Die goede oude tijd toen we nog transparante lijm op de strippenkaart plakten. Zucht.
@19 Geen OV studentenkaart (meer)? ;-)
Benieuwd of de overgrote meerderheid (regelmatige reizigers) het een biet interesseerd? En massaal overstapt op wegwerpkaarten of uit angst dat de kaart gekopieerd wordt thuis blijft? OV- kaart komt er gewoon natuurlijk. Geïnvesteerde miljoenen en voorzieningen aangelegd (neem Rotterdam)?, gaan “we” niet zomaar weggooien.
D’r staat dus op een gegeven moment iemand voor een bos microfoons fijntjes op de eerste problemen na b.v. de introductie van de pinautomaat te wijzen. “Elk systeem (van bankpas, pc, autoalarm, tachograaf) heeft zo z’n eigen veiligheidsrisico en kan dus gekraakt worden. Dit gebeurt echter op zeer kleine, overzienbare en makkelijk te traceren schaal. Maar wij garanderen u nadat de eerste kinderziekten eruit zijn 100% veilig betalen en reizen.” enz.enz.
Op tv een beveiligingsbedrijf (VS: tourniquet vingerafdruk met een kastje). Een folder, een reclamecampagne: absoluut onmogelijk te kraken uitgesloten: vingerafdruk uniek in combinatie met lichaamstemp. De krakers deden eerst nog moeilijk: (vergroting) fotokopie op papier, belijning handmatig aangezet, een koperets, en negatief gegoten in gel. En daarna met de fotokopie op schaal…deurtje ging in beide gevallen gewoon zonder sputteren open.
Er zit maar 1 ding op:
Allemaal een geel oormerk en/of een onderhuidse chip.
Net als in japan als vissen in een ton de metro ingejonast…
EN NU FABRICEREN JULLIE!
Geh, “Pining for the fjords.”
@22
Interesseert me idd. geen reet. Sterker nog toen ik deze zomer opeens niet mijn OV-studenten-gemaksding kon gebruiken vergat ik regelmatig een kaartje te kopen of the stempelen. En om dan onderweg op een tussenstation een sprint naar een stempelautomaat te moeten doen is ook niet wat… helemaal als iemand er kauwgom in de opening heeft gepropt. Nee doe mij maar iets wat automatisch *BLIEP* doet als ik het peron op loop en ook weer *BLIEP* doet als ik elder het perron verlaat. De tijd dat ik van mijn geliefde OV kaart afscheid ga nemen komt eraan… laat me alsjeblieft niet over aan de gruwelen van die papierhandel!
@23: Dat zeg je nu. Maar als straks een crimineel precies jouw chip uitkiest om te dupliceren, gaat jouw bankrekening in ene het rood in. Of erger, je wordt vanwege “jouw” vervoersgedrag in verband gebracht met criminele activiteiten. Mag jij vertellen waarom je om half 6 af- en 6 uur opstapte op dat station tegenover die winkel die om 5 voor 6 beroofd werd.
@16. Geen idee wat dat kost. Mijn punt eigenlijk is dat dat regelmatig upgraden begroot moet zijn – net zoals dat nu bij de papieren en plastic kaartjes het geval is. Je wil de oplichters toch voorblijven.
Als je mobiele telefoon gestolen wordt, en je komt er wat laat achter, moet je ook flink betalen. Met die mobiele telefoon kan je toch ook getraceerd worden?
Heeft iemand daar een probleem mee?
@23: en dan sta je voor zo’n OV-paal, en dan wil-ie je pasje niet aflezen. Net zoals je nu NS-kaartjesautomaten hebt die het verdommen om pinpasjes in te lezen. Zodat je tien keer opnieuw je pasje mag invoeren in de hoop dat ’t een keer goed gaat.
Wat ook een leuke gaat worden: een softwarefoutje waardoor je opeens een langere reis krijgt afgeboekt.
Maar afgezien daarvan, het hele concept ‘OV-chipkaart’ deugt niet, in z’n huidige vorm. Een chipkaart als 1:1 vervanger voor de strippenkaart: OK. Maar waarom dat gedoe met in- en uitchecken? En waarom die kotslelijke ingangsbarrieres? ‘Omdat het kan’?
@26: Ik wel. Daarnaast heb je het dan over jouw telefoon. In het geval van de chipkaart hoeft jouw kaart niet gestolen te zijn om iemand anders toch met (een kloon van) jouw kaart te hebben rondlopen. Het risico is daarmee veel groter.
Wat een gelul. De Oyster Card in Londen werkt geweldig en is net zo gevoelig voor “fraude”. Met een pay-as-you go ben je bovendien niet te traceren. Wat een non problemen. Gewoon invoeren dat ding!
@Broodje 29: De Oystercard is inderdaad net zo gevoelig voor fraude en omdat niemand onderzoekt of er fraude wordt gepleegd met de in Webwereld beschreven software is het nog niet vast te stellen.
Traceren van personen met ‘anonieme’ kaarten is vrij eenvoudig door verkeersgegevens van de kaarten te combineren met GSM-tracking gegevens. Iets wat het Britse MI-5 ook al heeft aangegeven te willen doen.
ok, laten we dan maar weer gewoon naar de muntjesautomaat gaan.
@29: diezelfde Oyster card die Londen in 2010 met pensioen gaat sturen?
@6: Klopt, het RET beweert dat het een groot succes is in de strijd tegen zwartrijden in de Rotterdamse metro.
@10: In de bus wel, daar moet je langs de chauffeur. In de metro en tram daarentegen wordt veel zwartgereden.
@24: Dat moet dan wel een crimineel zijn die gek is op het openbaar vervoer. Anders ga je hoogstens voor een paar tientjes het schip in voordat je het ontdekt.
@30
@30 Dan laat je je GSM toch thuis? Of als je die perse nodigt hebt, als ontstekingsmechanisme in je bom bijvoorbeeld, neem je toch gewoon een pay as you go abonnement op je mobiel? Zal die GSM tracking weinig helpen.
@32 Wel even dat artikel volledig citeren graag:
“Het systeem dat vervangen wordt, lijkt op de OV-chipkaart die hier nog ingevoerd moet worden”
De britten interesseert het niet dat fraude mogelijk is. En ik zeg maar zo: is het fraudeerbaar, dan is het ook niet traceerbaar.
@33: Een crimineel die het interessant vindt dat iemand anders vervolgd wordt voor zijn misdaden? Als ik een boef was, zou ik proberen al mijn misdaden in iemands anders schoenen te schuiven. In een opgeloste misdaad wordt meestal niet veel energie meer gestoken en zelfs alle onderzoek in een dwaalspoor geeft mij meer tijd mijn paden schoon te vegen, danwel mezelf uit de voeten te maken. Dat loont zich al heel snel.
@34 Dat geeft toch juist aan dat er iets niet goed zit, in Londen gooien ze de kaart er uit die lijkt op diegene die wij nog moeten krijgen.
Verder staat er dat er bij abonnementen langer dan een maand registratie verplicht is. Mag hopen dat dat in Nederland niet zo gaat werken.
Timing: http://tweakers.net/nieuws/56413/nxp-komt-met-nieuwe-microcontroller-voor-mifare-smartcards.html
Wat een gelul allemaal. Mijn pinpas kan ook redelijk eenvoudig geskimd worden met de juiste apparatuur. Maar dat is mooi niet de reden dat ik al mijn geld nu in een sok heb zitten. Dat komt door de kredietcrisis.
Hrmpf. Ik gaf 3 weken geleden al door als linktip dat het ding nu echt definitief open lag voor iedereen:
http://webwereld.nl/articles/53036/ov-chip
Uit de abstract van dat Esorics paper:
The most serious one recovers the secret key from just one or two authentication attempts with a genuine reader in less than a second on ordinary hardware and without any pre-computation. Using the same methods, an attacker can also eavesdrop the communication between a tag and a reader, and decrypt the whole trace, even if it involves multiple authentications. This enables an attacker to clone a card or to restore a real card to a previous state.
Die laatste “to restore [ … ]” is uiteraard ook leuk in de context van een OV kaart. Bij A heb je EUR 30 tegoed en bij B heb je… hee, verrek, alweer EUR 30 tegoed.
De mifare chip is toast. Volledig.
@Maggi e.v.a.: Het gaat hier niet om skimmen. Het gaat hier om het simpelweg thuis kopieren van je net gekochte wegwerp-OV-kaartje. Vergelijkbaar met het kopieren van papiergeld, maar dan praktisch ontraceerbaar en sowieso niet te onderscheiden van een echte chipkaart. De (wegwerp) OV-chipkaart onderscheidt zich van praktisch alle gangbare betaalsystemen in dat in dat ding zelf is opgeslagen wat je tegoed is. Dat is zelfs met de chipknip niet zo. Reden is dat het nog altijd niet op afdoende betrouwbare wijze mogelijk is om in de bus op het platteland een verbinding met een centrale server te leggen en zodoende te controleren of een kaart wel uniek is en wat het saldo is.
Het gaat hier ook specifiek om de wegwerp OV-chipkaarten en het grote probleem daarbij is dat fatsoenlijk beveiligde chips (met een veel snellere processor) gewoon te duur zijn om voor dat doeleinde te gebruiken – fatsoenlijke chips zijn er namelijk al heel erg lang. Oftewel: het probleem is veel meer een geldkwestie dan een technische kwestie.
Het wordt hoog tijd dat we gewoon een kaart invoeren die voor veel meer doeleinden te gebruiken is en zodoende wat meer mag kosten. Dan hebben we geen wegwerpkaarten meer nodig en kan iedereen zijn MultiPass ((C) LeeLoo) gebruiken als OV-kaart, pinpas, chipknip en dan ook meteen maar als toegangspas voor kantoorgebouwen, want daar moeten we ook wat nieuws voor verzinnen aangezien Mifare Classic daar ontzettend veel wordt gebruikt. Probleem opgelost.
zmc: Ik geloof dat het C1000 was met die proef van betalen met de telefoon?
(ja, privacy issues nog meer op de voorgrond met een mobiele telefoon maar dat is even secundair voor dit punt)
Om met bianconero te spreken: er is nu zoveel over te doen geweest in de media dat we er nu over op moeten houden. Geen vragen meer, iedereen heeft zijn portie gehad.
@11 Heel vroeger had je een perronkaartje nodig om je geliefden uit te mogen zwaaien.
Niks nieuws.
Binnen het OV-Chip gebeuren is het zo ingeregeld dat er met een zgn. Black-list gewerkt wordt. Die lijst wordt (volgens de procedure) dagelijks op de controleapparatuur (ook de CiCo’s) geladen.
Zodra op een card-ID onregelmatigheden (eerst een laag tegoed en daarna zonder opladen plots een hoger tegoed) wordt die card-ID ge-blacklist. Deze controle gebeurt bij TLS. Dat houdt in dat (als het goed werkt) de gecopieerde kaart slechts kort (hoogstens een paar dagen) bruikbaar is.
Toch moet het in die korte tijd mogelijk zijn om een paar gecopieerde kaarten op te reizen.
Vanuit de vervoerders is het mogelijk om middels poortjes (en natuurlijk ook camera’s) de houder van een gecopieerde kaart te identificeren en te (laten) isoleren. Gelukkig dat niet overal poortjes komen, maar ook mobiele posten waar je, na het weigeren van een geblackliste kaart, een “goede” copie voor kunt houden.
Wat je dus ook moet beinvloeden is de ingebrandde card-ID, die moet een geldige, niet geblacklistte, waarde hebben. Dat geeft dus ook rommel binnen de goede kaarten, maar als dat vaak genoeg gebeurt, òf strand het project alsnog, òf gaan veel mensen met eigen vervoer.
Hoe dan ook lijkt het succes van de OV-Chip zwaar onder druk te staan.
Dat stelletje Alfa’s in in Den Haag bewijst weer eens demonstratief hoe dom ze zijn.
Die chipkaart is hooguit goed voor:
http://www.myspace.com/tickettohellband
;-)
@45 “stelletje alfa’s” : Hier in Rotterdam zouden ze het vroeger een stelletje delta’s genoemd hebben (misschien nog). Delta was vroeger de naam van het psychiatrisch ziekenhuis van Rotterdam.
zo heel erg dood lijkt die kaart helaas nog niet te zijn: http://www.nu.nl/economie/2068153/gvb-en-ret-bekeuren-abonnees-met-chipkaart.html