Radboud Universiteit ontwikkelt alternatief voor gekraakte ov-chipkaart

De Radboud Universiteit Nijmegen gaat een naar eigen zeggen veilige ov-chipkaart ontwikkelen die de privacy van reizigers niet aantast, omdat reisgedrag slechts beperkt getraceerd wordt.

De kaarten zullen volgens de universiteit gebaseerd zijn op opensourcetechnologie en gebruikmaken van 'moderne cryptografische technieken'. Dankzij de keuze voor opensourcesoftware voor de 'ov-chip 2.0', zoals de voorlopige naam van de chip luidt, kan iedereen controleren of reis- en persoonsgegevens inderdaad voldoende beschermd worden. Dit zou het vertrouwen van de consument in een nieuwe ov-chipkaart moeten vergroten.

"Met het falen van de eerste generatie ov-chipkaart in Nederland dreigt een enorme desinvestering," stelt Michiel Leenaars, directeur strategie van stichting NLnet. De stichting heeft de Digital Security-groep van de universiteit een eenmalige beurs verstrekt voor de ontwikkeling. Het project staat onder leiding van Bart Jacobs en Wouter Teepe, die eerder bij de ontrafeling van de Mifare-chip voor ov-kaarten betrokken waren.

De stichting en de onderzoeksgroep willen een alternatieve chip ontwikkelen die niet alleen misbruik van de kaart voorkomt maar ook de privacy van reizigers technisch garandeert. Daarnaast kijkt de universiteit of de privacyvriendelijke technieken die voor de chip gebruikt gaan worden, ook in te zetten zijn voor andere systemen zoals mobiele telefoons.

Reacties (81)

[Chello200]

Waarom vragen ze gewoon niet aan de mensen in Singapore, Hongkong, Tokyo of Taiwan hoe het ontwerp van hun OV chipkaart, waar miljoenen mensen jaarlijks gebruik van maken, in elkaar zit? Als die mensen het al 10 jaar gebruiken zonder problemen zou het ook goed genoeg moeten zijn voor ons in Nederland.

[rickmans]

afaik gebruiken ze in Hong Kong gewoon de mifare chip, zie ook nieuws: 'Mifare-chips eenvoudig volledig te kraken'

[willem_liu]

Hong Kong gebruikt een andere chip: http://www.sony.net/Products/felica/csy/trf.html

[Verwijderd]

Ik geloof er eerlijk gezegd geen drol van dat daar geen problemen zijn. Als ze een vergelijkbare techniek gebruiken hebben ze deze problemen ook. Het is alleen een kosten-baten analyse: wat is de (verwachte) schade tegenover de (verwachte) winst?

Dat er weinig bekend is over problemen betekent niet automatisch dat ze er niet zijn.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 14:27]

[willem_liu]

Ze gebruiken niet dezelfde chips: http://www.sony.net/Products/felica/csy/trf.html

Op de wiki over de Octopus card staat ergens ook expliciet dat de kaart en systemen nog niet succesvol zijn gekraakt.

[Verwijderd]

Ik zei 'vergelijkbare techniek', niet 'identieke chip'

dat de kaart en systemen nog niet succesvol zijn gekraakt.

Dat kun je nooit met zekerheid zeggen, ze bedoelen waarschijnlijk dat ze, als er een kraak is, er niet van op de hoogte zijn. Maar als je iets niet weet betekent dat niet dat het niet bestaat.

[willem_liu]

Vergelijkbare techniek, maar hele andere encryptie methode doordat er een andere chip wordt gebruikt.

Dat kun je nooit met zekerheid zeggen, ze bedoelen waarschijnlijk dat ze, als er een kraak is, er niet van op de hoogte zijn. Maar als je iets niet weet betekent dat niet dat het niet bestaat.

Je kan ook stellen dat een hack niet bestaat tot het moment dat het wordt gehacked.

[tuXzero]

Dit speelt mooi in op de regelingen die bepalen dat overheidsorganen meer met open producten moeten werken. Ook vind ik het een goede keuze om open source software te gebruiken voor beveiliging.

Ik geloof namelijk, samen met veel cryptografen, dat de meest veilig software open source software is, mits het veel gebruikt is door een specialisten groep.

Mijn redenatie daarachter is dat de mensen die werkelijk schade kunnen aanrichten (omdat iets over het hooft is gezien, bijvoorbeeld) de specialisten zijn. De mensen die schaden aan willen richten, en zich niet druk hoeven maken over hun goede naam, kunnen alleen de voor de hand liggende zwakheden verzinnen (uitzonderingen daargelaten). Deze zwakheden zijn (helaas voor deze groep mensen) door de vele ogen eruit gevist.

Met closed source zijn mensen vaak in de veronderstelling dat je absoluut niet te weten kan komen hoe het programma werkt, dit is echter een misvatting. Als het betreffende systeem eenmaal ge-reversed engineered is kunnen de aanvallers genieten van een veel minder bekeken systeem, wat vaak door een bedrijf ontwikkeld is die met deadlines te maken heeft.

Het fundamentele verschil in de leef omgeving van het systeem maakt naar mijn mening een groot verschil in stabiliteit, schaalbaarheid en security.

[miw]

Kul. Publicatie van rommel software maakt het niet opeens een kwaliteitsproduct. Ook in open source progjes is troep te vinden. In veel open source zitten net zo goed lekken. Het voordeel dat je zelf de bugs kan oplossen is niet echt relevant voor een systeem dat je in een embedded apparaat moet draaien. De meerwaarde van publicatie is dus feitelijk nihil. Voor dit soort software is het dus contraproductief omdat de tegenstander nu directe toegang heeft tot de software die in de smart card draait.
Het reverse engineering argument is tamelijk onzinnig omdat de software draait in een smart card. Het belangrijkste doel van een smart card is het moeilijk te maken om de programma code uit te lezen en te wijzigen. Als je de binaire code niet kan lezen, valt er ook niets te reverse engineeren. De gepubliceerde aanvallen zijn dan ook niet vooraf gegaan door een analyse van de executable in de smart card.
De crypptografische principes zijn niet zo moeilijk. Het implementeren wel. Een goed ontwerp bewijsbaar correct implementeren is al moeilijk. Dat ook nog doen in een omgeving waarin de bedoelde werking van de computer kan worden beinvloed is vrijwel onmogelijk. Open source programmeren en cryptografische expertise zijn volstrekt irrelevant bij het implementeren van een stuk functionaliteit in een smart card.

[Verwijderd]

Lijkt me niet direct heel nuttig.

Er zijn genoeg goede chips te krijgen, ook met open standaarden zelfs van dezelfde fabrikant als het origineel, echter kosten die simpelweg teveel geld.

Hoe denkt zo'n universiteit een chip goedkoper te kunnen ontwerpen en produceren als een groot internationaal bedrijf dat kan die het verkopen aan duizenden klanten in enorme oplages.

[pnieuwla]

Dat vraag ik me inderdaad ook af. Ik heb nog wel wat vraagtekens bij de haalbaarheid van het geheel, en wat er nou precies gaat gebeuren. Scenario: de bestaande Mifare of een andere, misschien iets veiliger variant wordt toch ingevoerd. De universiteit ontwikkelt parallel hieraan een alternatief. Dit is over, pak 'm beet, een jaar of 4 af. Dan zijn net de andere systemen operationeel, en zit niemand meer te wachten op een verbetering omdat het simpelweg teveel geld kost om om te schakelen. Leuk als project voor de universiteit, maar uiteindelijk heb je er dan niks aan.

[mjtdevries]

helemaal mee eens.

Dit klinkt meer als een reclame stunt voor de radbound universiteit.

Hoewel een dergelijk project met een heel duidelijk doel ook interessant kan zijn voor een aantal studenten als afstudeerprojectenetc.
Dan heeft een student nog een beetje het gevoel dat zijn onderzoek daadwerkelijk nuttig zou kunnen zijn in het bedrijfsleven. Vaak mist dat nogal eens.

[Redlion]

Ik vermoed dat je dit toch iets abstracter zult moeten bekijken. De universiteit zal waarschijnlijk een puur schematisch design leveren waarin de gebruikte protocollen staan aangegeven, en de manier van functioneren van de protocollen. Het zal een soort label-transitie systeem zijn. Vervolgens zullen ze dit geteste systeem aan fabrikanten aanbieden die het vervolgens mogen implementeren in de betreffende hardeware.

[Verwijderd]

Neemt niet weg dat zoiets er al lang en breed is, waarom het wiel opnieuw uitvinden?

[Verwijderd]

Hier in Groot Brittania gebruiken ze al jaren een oyster kaart welke gewoon werkt en je hoeft hem niet te registreren (word wel aangeraden) waardoor je privacy ook gewaarborgd word (tenzij ze die kaart op een andere manier aan jou kunnen verbinden).
Ik heb zover nog niet gehoord over grote problemen.

Blijkbaar hebben Engelse onderzoeksinstituten jaren geleden een advies raport gestuurd naar de Nederlandse regering maar hier is blijkbaar nooit wat mee gedaan.

[Verwijderd]

aaahhh mooi, misschien dat er nu wel eens een goede kaart komt,
Ligt het aan mij, of mislukken gewoon alle overheidsprojecten?

Misschien dat we dan januari 2009 toch nog een ov-chpkaart krijgen, hoewel het weinig uit maakt voor mij, en alle andere studenten, het is toch al gratis, en het gaat zo ook goed.

[MediQ]

De overheid geeft gewoon één bedrijf de opdracht en nadat er bakken met geld in is gepompt komen ze erachter dat het niet goed verloopt. Meestal is het dan al te laat en gooi je met terugtrekken te veel geld weg.

[DinX]

Daar kan de overheid bar weinig aan doen. Ik werk zelf ook voor de overheid en alles boven de X euro moet via aanbestedingen verlopen. Alles boven Y (> X) moet zelfs Europees aanbesteed worden.

Bedrijven kunnen zich inschrijven op zo'n aanbesteding en dus een offerte indienen. Daarna worden die offertes op allerlei punten beoordeeld met punten. Allerlei aspecten hebben hebben een bepaalde puntenwaarde. x punten voor de prijs (vaak het belangrijkste), y punten voor technische specificaties, z punten voor support,....
Uiteindelijk wint het bedrijf met de meeste punten.

Echter kunnen bedrijven heel veel beloven in hun offertes, hun presentaties en proof of concepts, dat blijkt echter vaak niet echt een aanduiding te zijn voor de afwerking van het project. Zo kan je dus een klein bedrijfje hebben (of grote) die allerlei geweldige beloften doet, een goede proof of concept laat zien en de aanbesteding binnen haalt. Echter heb je tot dan alleen nog maar de verkopers gezien. Vaak blijkt de technische uitwerking toch heel wat anders te liggen.

Het enige dat je dan nog kan doen is het bedrijf in gebreke stellen en dus kortgezegd aanklagen. Daar gaan weer verschillende maanden over. Nadien heb je dan wel je geld terug, maar je moet heel je aanbestedingsprocedure weer opnieuw doen. Daar gaan, zeker bij grote projecten, verschillende maanden over.

Een voorbeeld was hier pas nog in het nieuws in België ivm de "Finance Tower". Een gigantische nieuwe building voor de dienst Financiën. Het ding staat daar eigenlijk al klaar om in gebruik te nemen, maar 1 van de bedrijven die zich ingeschreven had voor de bemeubeling heeft klacht ingediend. Dat is iets wat heel vaak gebeurt. Bedrijf X wint de aanbesteding, maar bedrijf Y stapt naar Raad van Staten wegens "procedurefouten". Resultaat, het duurt nu nog minstens 8 maanden eer ze uitspraak hebben hierover, in die tijd mag het gebouw niet opgeleverd worden.

Dus je kan het nu wel heel makkelijk op de overheid steken dat al die projecten mislukken/uitlopen/duurder worden, maar daar kunnen ze in de meeste gevallen zelf niks aan doen. Je kan namelijk niet gewoon naar bedrijf X stappen en zeggen "komen jullie dit project voor ons doen?".

Mensen die hier altijd kritiek op hebben zijn gewon mensen die geen bal verstand hebben hoe projecten (moeten) verlopen bij overheidsdiensten. Het is dan natuurlijk heel gemakkelijk om lekker populistisch op de overheid te gaan schieten.

[]Byte[]

De overheid kan het ook niet 100% voorkomen, maar 95% van de exorbitante (40% >) budgetoverschrijdingen na een (europeese) aanbesteding had zeker WEL voorkomen kunnen worden.

Je hebt altijd wel ergens een post onvoorzien nodig. Maar die hoeft nooit meer dan 5% te zijn.
Dat de commerciele bedrijven "misbruik" maken van onduidelijkheden in het bestek om zo toch de gunning te krijgen dat mag duidelijk zijn.
Op de letter van de aanbesteding zullen ze geen overtreding begaan en daardoor kan jij als gunnende partij ook geen ontbinding eissen obv wanprestatie oid.
Je kan het dan op zijn hoogst moreel verwerpelijk vinden, en de bedrijven zullen zeggen "maar we voldoen toch aan wat jullie zelf in het bestek hebben gevraagd. Wat verwacht je nu van ons? (met een heel onschuldige blik)"

Maar de aanbestedingen zijn vaak op voorhand zo slecht dicht getimmerd en zo krijg je achteraf onduidelijkheden (+ extra kosten) om alles weer recht te trekken.
Garagebox-bedrijven zijn simpel te voorkomen.
a) bedrijf moet minimaal x jaren betsaan in deze bedrijfstak
b) bedrijf moet minimaal xx miljoen euro per jaar omzet hebben uit deze bedrijfstak
c) bedrijf moet minimaal 5 gelijksoortige projecten van xxx omvang hebben uitgevoerd in de afgelopen 2 jaar
d) bedrijf moet minimaal xx personeelsleden hebben
e) bedrijf moet aantoonbaar maken dat zij ook 7 * 24 ondersteuning kunnen bieden met een responsetijd van max. x uur
f) bedrijf moet 3 referenties opgeven van bij eerder genoemde punten c en e
g) punten a t/m f dienen schriftelijk aangetoond moeten worden waarbij bij a en b een accountantsverklaring dient te zijn bijgevoegd.

Zo.... simpeler dat dit kan het niet, en ik moet dan nog zien of er een garagebox-bedrijf is wat denkt aan de aanbesteding mee te kunnen doen.

Als er procedurefouten gemaakt worden is dat ronduit slecht en je volledig eigen schuld!
De procedures rondom (europeese) aanbestedingen zijn glashelder, en als jij je als gunnende partij niet aan denkt te hoeven houden... tja dan kan je wel eens afgestraft worden en kan je helemaal opnieuw beginnen.

Als je weet dat de minimale aanbestedings termijn 52 dagen is (zo even snel uit m'n hoofd) moet je niet op 51 dagen een gunning gaan doen.
Of niet alle documentatie naar alle partijen doorsturen, of een gespreks verslag vergeten op te sturen naar een partij die op een meeting niet aanwezig was.
Het zijn een paar simpele voorbeelden, maar juist op dit soort onbenulligheden gaat het fout.
Of ze weten het wel dat ze een foutje gemaakt hebben, maar vervolgens hun kop in het zand steken en toch doorgaan.
Als dan een van de partijen achteraf gaat klagen (en terecht) omdat ze er achter zijn gekomen dat ze niet alle informatie hebben gekregen die de andere partijen wel hebben, dan heb je gewoon een probleem.

Zijn fouten 100% te voorkomen? NEE
Maar de exorbitante budgetoverschrijdingen zijn voor ruim 95% ronduit prutswerk.

[Amzika]

Wel eens van Europese aanbesteding gehoord?

MIjn ervaring is dat beleidsmedewerkers weliswaar fouten maken, maar dat commerciële bedrijven daar vaak a) bewust op inspelen, b) slim gebruik van maken en c) sowieso graag hun best doen zoveel mogelijk overheidsgeld binnen te harken.

Blind de overheid de schuld van alles geven is veel te makkelijk. In Engeland wordt dezelfde OV chip al jaren en zonder hack gebruikt trouwens.

http://www.automatisering...en%20voor%20commotie.aspx

[golfdiesel]

precies, en zo gaat het maar al te vaak met ons belasting geld.... (JSF bijvoorbeeld...)

[Verwijderd]

Als je je echt nog druk maakt om de blunders van de regering en overheid dan heb je nog niet helemaal begrepen wat de belangrijke dingen in het leven zijn. Dat belastinggeld is gewoon weg. Zo zal het altijd blijven gaan. Als je iets gedaan wilt krijgen kun je het beter zelf doen. Het is gewoon een grote soms wat irritante afschrijf-post waar je toch niet gemakkelijk onderuit komt.

Ik begrijp trouwens helemaal niet waarom dit een zaak van de regering is want de NS is geprivatiseerd. Ze zoeken het dus maar lekker zelf uit zou ik denken

[Verwijderd]

Als je je echt nog druk maakt om de blunders van de regering en overheid dan heb je nog niet helemaal begrepen wat de belangrijke dingen in het leven zijn. Dat belastinggeld is gewoon weg. Zo zal het altijd blijven gaan. Als je iets gedaan wilt krijgen kun je het beter zelf doen. Het is gewoon een grote soms wat irritante afschrijf-post waar je toch niet gemakkelijk onderuit komt.

Ik ben blij dat het voor veel mensen en mensen in de tweede en eerste kamer niet zo vanzelf sprekend is. Als iedereen de acties van de regering voor zoete koek zou slikken zouden de burgers uiteindelijke een speelbal van de regering zijn.

Ik begrijp trouwens helemaal niet waarom dit een zaak van de regering is want de NS is geprivatiseerd. Ze zoeken het dus maar lekker zelf uit zou ik denken.

Het is zoals gezegd niet alleen voor de NS maar voor alle OV. De reden dat de reging er zich mee bemoeit is omdat deze als doel heeft de bevolking te dienen c.q. te vertegenwoordigen. Zodat reizen voor de burger gemakkelijker wordt. Als de regering er zich niet meer mee zou bemoeien dan zou je zelfs voor de verschillende OV ondernemingen een ander kaartje moeten kopen. Zoals in de UK met de treinen was/is? Waarbij je op een traject meerdere kaartjes moest/moet kopen.

[Verwijderd]

Het zou me niet verbazen als het uiteindelijk goedkoper zou zijn als ze allemaal hun eigen systeem hanteren, mede door de marktwerking tussen aanbieders van kaartsystemen.

[Bacchus]

Dit gaat niet alleen de NS aan maar alle OV-bedrijven, daarom is er een rol voor de overheid om dit soort dingen te coördineren.

[dtech]

Bussen, trams, metro. Het is een OV-chipkaart. Geen NS-chipkaart.

[PolarBear]

aaahhh mooi, misschien dat er nu wel eens een goede kaart komt,
Ligt het aan mij, of mislukken gewoon alle overheidsprojecten?

Er zijn nog best wat overheidsprojecten die wel lukken, maar dat is een keer in de media. Als iets mislukt komt het tien, twintig keer in de media.

[]Byte[]

De verhouding staat geloof ik op 1:23
Als het fout gaat wordt het ongeveer 23 keer eerder en sneller rond dan tov als het wel goed gaat.
Dit getal slaat niet alleen op overheden, maar ook binnen prive-omgeving.
Waarom de overheid zo snel in de media komt....
Omdat het dan gaat om:
a) geld gaat wat wij met zijn allen opbrengen
b) de wet van de grote getallen

Je zal in de media niet zien als de overheid ergens een pakje boter heeft gekocht en daardoor eenmalig 12 cent meer kwijt was dan noodzakelijk was.
En laten we eerlijk zijn...
De media zou geen media zijn als er geen senatie zou zijn.
Kranten verkopen ook het beste als je het bloed er uit kan wringen.
Wat is er dan makkelijker als het gaat om een schaafwondje de boel nog hier en daar beetje extra opkloppen en dat naar buiten brengen...
De toon is dan al gezet, en de media noemt het vrije nieuwsgaring waar het publiek recht op heeft om te weten.

[MediQ]

Gelukkig zijn er nog mensen die helder nadenken. Het merendeel van Nederland zal mede dankzij de media, grotendeels terecht, helemaal anti OV-chipkaart zijn. Ik ben benieuwd wat de overheid doet met deze mogelijkheid.

[vgroenewold]

Precies, hoewel enigzins terecht vond ik het een verkeerde keus van de Uni om de media op te zoeken...die verdraaien alles continue en/of blazen het geheel enorm op, waardoor een enorme weerstand gecreeerd wordt. Dit initiatief vind ik dan weer zeer netjes, men heeft helemaal gelijk dat de politiek meer gebruik moet maken van de mensen die echt goed na kunnen denken zonder winst-oogmerk. Echter, als de politiek dit blijkbaar standaard niet doet en men ook al zoveel moeite heeft met open standaarden, dan is het natuurlijk wel duidelijk dat de zaken politiek gezien niet zo simpel liggen...teveel belangen van bedrijven e.d.

edit: Men heeft eerst andere wegen bewandelt, dus het is ook niet geheel onterecht geweest...echter...ik vind dat je er ontzettend mee moet uitkijken als Universiteit. Ook alleen al het feit dat publiciteit zorgt voor juist een vergroting van het lek in de beveiliging van de kaart, als deze er toch was gekomen (meer interesse in het hacken gekweekt). Deze interesse zal er overigens nu ook zijn, dus hopelijk maken ze versie 2 full-proof.

[Reactie gewijzigd door vgroenewold op 22 juli 2024 14:27]

[Verwijderd]

De mifare is al een hele tijd bekend als gemakkelijk doelwit binnen de hackerswereld. Dus waan je niet in de illusie dat dit stukje beeldvorming van "de gewone burger" iets bijdraagt aan de interesse van hackers (de mensen die dit kunnen kraken hadden de mifare classic al in hun vizier...).
Het is juist zorgelijk dat deze kennis niet bekend is bij de overheid. Mijn inziens niet zozeer een verstrengeling van belangen (zoals jij suggereerd) maar meer een gebrek van achtergrondkennis.
Er is vanuit de RU erg hard gewerkt een genuanceerd en correct verhaal bij de media te doen en de media hebben een aardige weerspiegeling hiervan gegeven, dus ik snap jouw probleem niet. "De burger" (en overheid, en bedrijven) is vanaf nu op de hoogte van wat hackers al wisten...

[Verwijderd]

En als het niet wordt opgeblazen dan horen ze het niet in Den haag.

[xtra]

Andere onderzoeken met kritiek op de OV-chipkaart zijn al in een voetnoot verdwenen of verdraaid zodat ze niet al te kritisch leken. (http://webwereld.nl/artic...publicatie-aangepast.html)
Dat ze de media opzoeken (geen idee of ze eerst andere wegen hebben bewandeld) snap ik dus wel.

[miw]

De overheid heeft weinig te zeggen over het onderzoeksprogramma van een universiteit. Overigens is het wetenschappelijk belang van dit soort ontwikkelwerk uitermate gering. Het zo de wetenschappers sieren als ze zich verre houden van dit soort produktontwikkellingswerk op kosten van de belastingbetaler.

[PolarBear]

Gelukkig zijn er nog mensen die helder nadenken. Het merendeel van Nederland zal mede dankzij de media, grotendeels terecht, helemaal anti OV-chipkaart zijn. Ik ben benieuwd wat de overheid doet met deze mogelijkheid.

Hoezo zou je anti OV Chipkaart zijn? Het concept werkt, in een beetje wereldstad hebben ze een OV Chipkaart. De uitvoering, dat is wat in Nederland verkeerd gaat.

[demonite]

Wat kan mij het nou schelen dat de RET weet wanneer ik welke metro heb genomen waar naar toe? De albert heijn weet ook al welke producten ik heb gekocht op welk moment, google weet ook wat er in mijn mailbox zit...

Ik vind die ov chipkaart echt 10x beter als zo'n strippenkaart die je nergens krijgen op het moment dat je er 1 nodig hebt en je nooit weet of je nou genoeg strippen hebt afgestempeld.. Het enige minpuntje voor zover ik het heb gevolgd is dat iemand anders jouw kaart kan kopieren op afstand en vervolgens op jouw kosten kan reizen. Dat moet onmogelijk gemaakt worden, verders is het concept prima. (imho)

[rickmans]

Ik vind het op zich een leuk statement van de Radboud uni. Het enige dat jammer is dat ze zich blijkbaar niet hebben geinformeerd over de werking van de OV chipkaart. Bij het reizen met de OV chipkaart wordt weliswaar wel een reis geregistreerd, maar er is geen link met een persoon. Hierdoor is er ook geen sprake van enige vorm van privacy inbreuk.

Daarnaast zou een 'gekraakte' OV chipkaart ook alleen maar schade opleveren voor de vervoerder en totaal geen schade voor de reiziger. Het feit dat de 2.0 versie open source is, is een schijnveiligheid. Het is leuk dat iedereen kan controleren of er wel voldoende beveiliging is, maar is de chip hierdoor veiliger. Als je het via applicatie A kan uitlezen die specifiek geschreven is voor de vervoerder, dan is het gewoon een kwestie van tijd totdat er een bleke nerd is die een vergelijkbare applicatie schrijft om de boel mee na te bootsen/ te hacken.

Kortom de versie 2.0 versie van de OV chipkaart heeft alleen als meerwaarde dat deze chip nog niet gekraakt is, maar ook dat is gewoon een kwestie van tijd. Kan je de chip uitlezen met reguliere machines, dan kan je het ook met een wizzkid appje.

[Verwijderd]

Bij het reizen met de OV chipkaart wordt weliswaar wel een reis geregistreerd, maar er is geen link met een persoon.

De kaart is gelinkt aan de abonnementshouder, dus die link is er wel - tenzij je een prepaid kaart koopt die je betaalt met contant geld op een plek waar geen camera hangt.

Daarnaast zou een 'gekraakte' OV chipkaart ook alleen maar schade opleveren voor de vervoerder en totaal geen schade voor de reiziger.

Financiële schade voor de OV-bedrijven, geharrewar voor de reiziger die het weer moet regelen met het OV-bedrijf. Bovendien worden die financiële tegenvallers gewoon doorberekend in de tarieven, dus is er indirect wel degelijk schade.

Het is leuk dat iedereen kan controleren of er wel voldoende beveiliging is, maar is de chip hierdoor veiliger.

Als iedereen het kan controleren kan iedereen ook bekijken of er zwaktes in zitten, als niemand het kan / mag zien is dat natuurlijk veel lastiger.

[...] een bleke nerd is die een vergelijkbare applicatie schrijft om de boel mee na te bootsen/ te hacken.
[...]
Kan je de chip uitlezen met reguliere machines, dan kan je het ook met een wizzkid appje.

Met open source kan iedereen zien hoe makkelijk of moeilijk het is om dat te doen, en adviseren om het anders te doen. Met closed source kan dat niet.

Het is nu zo dat mensen met goede bedoelingen het systeem gekraakt hebben, maar als dit was ingevoerd en criminelen hadden deze truc uitgehaald hadden ze dat natuurlijk niet netjes gemeld en had er aanzienlijke schade kunnen zijn.

[daft_dutch]

Fout Fout Fout, Zodra je met rfid rond loopt ben je traceerbaar. Dus er is altijd wel een link met een persoon. Zeker als je meerdere rfid op zak hebt. en zeker over 10 jaar of zo

Beter dit Feit accepteren en met een goede oplossing komen.

Daarbij bij opensource zijn er genoeg wizzkid appje die wel kunnen mee helpen.
Daarbij het enige probleem met rfid en encryptie is dat de chip niet erg sterk is.
Dus een goede encryptie is lastig.
Daarom doen bedrijven er vaak makkelijk over. Zo dit is goed genoeg.

bij Opensource is dit niet het geval. samen zoeken naar de meest effectieve encryptie die een rfid kan verwerken.

[Reactie gewijzigd door daft_dutch op 22 juli 2024 14:27]

[rickmans]

Staan er dan persoonsgegevens op de kaart? .

Imho moet je op zoek naar een degelijke encryptie en voor damage control kunnen zorgen indien er door een niet geautoriseerde partij een decryptie en misbruik plaats vindt. Afaik hebben de vervoerders dat laatste geregeld: de vervoerder betaalt de kosten en de reiziger heeft wat dat betreft geen kosten.

[VisionMaster]

Het pasnummer is een vrij opvraagbaar stuk informatie uit de RFID chip. Je saldo en je abonnementen (producten) zijn dat weer wel.

Dus je bent prima traceerbaar en misschien nog niet direct met naam en toenaam, maar je bent perfect volgbaar.

[Blackbird-ce]

Worden reisgegevens vastgelegd, of enkel het beginstation tot het moment van uitchecken, wellicht op de kaart zélf? Zolang er geen logging wordt uitgevoerd door de machines, lijkt het mij lastig om iemand daadwerkelijk te traceren.

En natuurlijk, het zou-mogelijk-kunnen-zijn dat er gelogd wordt, er aan de hand van deze logging het hele reisgedrag van een ov-kaart kan worden samengesteld en dit gedrag weer gekoppeld kan worden aan een persoon zélf (bijvoorbeeld door woon-werk en familie-gegevens hieraan te relateren). Echter, als we zó ver gaan denken is dat overal bij mogelijk, simpelweg door cameratoezicht op alle stations. Niet bepaald een kenmerk van de OV-chipkaart dunkt me.

Ikzelf bezit een anonieme ov-kaart, mijn persoon zelf is dus niet eenvoudig vast te stellen (tenzij we echt aan de haal gaan met het traceren van grote hoeveelheden data).

[VisionMaster]

Een NS medewerker heeft me laten zien, dat hij mijn in-uitgecheckte status kon opvragen uit de kaart, mijn NS product gegevens (mijn jaar traject kaart), mijn laatste 5 of 10 reizen en nog wat basis dingen.
Met het nummer is de pas dan ook gekoppeld aan mij als persoon. Via TransLink dan wel te verstaan, maar ja... aan gezien er geen openheid van zaken is over hoe ze met de gegevens omgaan van, naar en via TransLink moet je de meest vervelende situatie verwachten

[rickmans]

Dat klopt inderdaad, qua pasnummer ben je traceerbaar, qua persoon formeel gezien niet (omdat de koppeling niet gelegd mag worden).

[Verwijderd]

Hehe De Radboud universiteit heeft zich niet geïnformeerd over de werking van de OV chipkaart? Ze hebben dat ding gekraakt, man! Ze weten exact hoe dat ding werkt.

Een chip "lees" je overigens niet uit, die "zet je aan" net als een computer, waarna je erop inlogt, en ermee communiceert. De chip maakt zelf uit of de goede authenticatie wordt gebruikt. Het is geen simpele USB-stick.

[rickmans]

Nee ze weten schijnbaar dus niet dat er geen koppeling is dus persoonsgegevens is en reisgegevens. Dat was namelijk iets dat niet gedaan mocht worden.

[Redlion]

Wanneer je theoretisch kijkt naar het systeem zoals dit er nu is is het wel mogelijk om de persoonsgegevens aan de reisgegevens te koppelen, of beter gezegd de gegevens zijn gekoppeld. De vervoerbedrijven en de overheid hebben overigens toegezegd hier niets mee te gaan doen dit is totaal iets anders dan dat het theoretisch ook niet mogelijk is, maar ja wie weet of de aivd ook werkelijk niets met deze gegevens gaat doen, want ze hebben rechten om elke database te benaderen volgens het nederlands recht...
Maar een systeem ontwikkelen waar het theoretisch al niet mogelijk is, is het gene wat ze nu gaan doen. Bart Jacobs is nogal pro-privacy en wil hiermee natuurlijk zijn stempel op het gene drukken waar hij al zolang tegen aan heeft zitten schoppen. En wie geeft hem ongelijk.

[Reactie gewijzigd door Redlion op 22 juli 2024 14:27]

[MBV]

Ehm, toen iemand een 'ikje' in het NRC had ingestuurd, waarin hij beschreef hoe hij was gereisd en wat er met zijn saldo gebeurde, kreeg hij de volgende dag uitleg van de RET. Die hadden aan de hand van zijn reisgegevens (geen tijdstippen, alleen een route en een vage aanduiding van de tijd) getraceerd dat het gebruiker nummer X was, en daar het telefoonnummer bij gezocht. Dus die koppeling is er wel degelijk, alhoewel misschien indirect.

[Gomez12]

Op zich krijg ik wel mijn vraagtekens als ik zie dat het debacle van de ov-chipkaart in alle kranten en journaals heeft gestaan en wie leiden het project naar de nieuwe wel goed werkende ov-chipkaart, juist de ontdekkers van het lek.

Ga ik me toch afvragen of er bij het openbaar maken van dat rapport er geen commerciele belangen meegespeeld hebben...

[zork]

...Michiel Leenaars, directeur strategie van stichting NLnet. De stichting heeft de Digital Security-groep van de universiteit een eenmalige beurs verstrekt voor de ontwikkeling.

Een stichting mag in ieder geval nog steeds geen winst maken, maar inderdaad, het blijft altijd een euvel, de verstrengeling van bedrijfsleven en academisch onderzoek.

Maar wat je zegt is een fenomeen welke je overal in terugziet. Er is sprake van een zwakte, men constateert het een andere groepen komen met een sterker alternatief om zo te 'winnen'. Heel natuurlijk hoor

Wat ik in de hele OV-chip affaire nog het vreemdste vond, is dat enkele jaren geleden men (de ontwikkelaars) een status voor de OV-chip wilde aanvragen, waardoor het ook als betaalmiddel kon gaan gelden (bijvoorbeeld voor in de kiosk). Het werd toen (!!!) als te onveilig beschouwd om als betaalmiddel te gelden...en toch stug doorgaan he, zonder noemenswaardige aanpassingen in het systeem

[MadMarky]

Waarom geeft de Nederlandse overheid eigenlijk steeds de opdracht aan (vaak incompetente) bedrijven als ze ook een veilig systeem kunnen laten ontwikkelen bij een universiteit?
Voor zover ik weet is het in de VS vrij normaal om een budget aan een uni beschikbaar te stellen en daar bepaalde dingen te laten onderzoeken.

[miw]

Omdat universiteiten bedoelt zijn om onderwijs te geven en onderzoek te verrichten. Het commercialiseren van de vergaarde kennis is de taak van bedrijven. Met alle respect voor de universiteiten en de mensen die daar werken, van produktontwikkelling hebben ze geen enkel verstand. Kennis verwerving is belangrijk zonder dat daar een commercieel resultaat tegenover hoeft te staan. Onderzoekers op kosten van de belasting betaler produkten laten ontwikkellen is simpleweg concurrentie vervalsing. Er zijn meerdere bedrijven die dit soort produkten zeer solide kunnen maken en ondersteunen. Het kraken van de chip was al een twijfelachtige wetenschappelijke activiteit, het opnieuw en ongevraagd ontwikkellen van een stukje beveiligingssoftware heeft helemaal niets meer met wetenschap te maken.

[franssie]

eens, maar misschien is onze overheid te bang om zichzelf te laten controleren door de opdrachtgevers (wij burgers) - dat is iets waar ze in de USA toch meer ervaring mee hebben. Zo is alle door belastinggeld betaalde info die niet staatsgeheim is openbaar ... Onze overheid verkoopt het liever (digitale kaarten).
GPS is voor commerciele doeleinden gratis te gebruiken nota bene.
(Niet nalatend te zeggen dat de democratie en het rechtssysteem van USA wat van mindere kwaliteit zijn IMHO, met nadruk op de I dus de mijne).

[Verwijderd]

Universiteiten delen geen steekpenningen en luxe diners uit. Daarom.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 14:27]

[mjtdevries]

Onderzoekers bij universiteiten dansen minder naar de pijpen van de politici. Dat maakt ook nogal uit.

Politici delen meestal opdrachten uit waarbij ze van te voren al de uitkomst hebben bepaald.

Bedrijven willen graag nieuwe opdrachten van die politici binnen halen en zorgen dus wel dat de politici tevreden zijn met de manier waarop dat bedrijf de uitkomsten verwoord.
Een student die echter afstudeerd zal het weinig boeien of er ooit nog een volgende opdracht voor die universiteit komt. Dan is hij immers al ergens anders aan de slag.

[AW_Bos]

Interessant om te volgen. Het zijn vaak de hackers die mee gaan helpen om de veiligheid op de been te been te brengen.

[ZwarteIJsvogel]

De OV-bedrijven zullen niet geinteresseerd zijn. Zij willen namelijk per se een systeem waarbij reisgegevens met naam en toenaam bekend zijn. Dat is namelijk hun voordeel bij een systeem dat 3-4 keer zo duur is als papieren kaartjes.

[Niemand_Anders]

De OV bedrijven kunnen die gegevens ook inzien. Dat kan onder andere bij een controle via een scanner of via betaalpunten. Wat zij straks niet (meer) kunnen is ook de persoongegevens achteraf kunnen gebruiken. Nadat een reiziger zijn reis heeft voltooid en heeft betaald zullen de gegevens nog beperkt beschikbaar zijn.

Het basis systeem veranderd niet, het systeem moet alleen een nieuwe chip kunnen lezen. De OV bedrijven zijn en blijven geinteresseerd in het chip systeem ongeacht welke chip er wordt gebruikt.

Nu wordt een OV bedrijf uitbetaald op basis van strippenkaart/abonnement verkopen per provincie. Via handmatige tellingen moeten OV bedrijven dan doorgeven hoeveel personen zij vervoerd hebben. Dat bepaald dat het percentage voor die provincie en via dat percentage worden dan de OV bedrijven uitbetaald.

Met de OV-chip is precies bekend hoe een persoon reist, een van de redenen waarom je bij overstappen eerst uit moet checken en daarna weer in zoals op Beurs (overstappen op andere metrolijn), of Station Schiedam (vanuit metro naar trein). Dat heeft de RET (metro) samen met de NS (trein tussen Rdam CS en Hoek v Holland) aangegeven toen ze in 2004 hun proef gingen uitleggen.

Daarbij moet dit systeem (als deze als enigste gebruikt kan worden) ook zwart rijden voorkomen. Nu gaan de poortjes al met een paperclip open. Dat kan niet anders als je ziet waarop wij Nederlanders kunnen reizen. Straks is er alleen de OV-chip en gaan de poortjes alleen open met een OV-chip met voldoende saldo.

Overigens gebruikt de Oyster card eveneens de gekraakte mifrare chip. Alleen staan daar de persoongegevens niet op de chip, maar alleen in een centrale database. Op de chip staat alleen een ID (nummer). Overigens werkt de huidige OV-chip in Rotterdam ook goed, alleen kent het systeem nog veel kinderziektes zoals ontterrechte afboekingen en wordt het belangrijk dat het systeem overstappen herkent zodat als je een keer vergeet uit te checken, je niet direct 4,50 kwijt bent.. Juist daardoor heeft de OV-chip in Rotterdam een zure naam gekregen, en Peters van de RET maar roepen "Alles komt goed".

Gelukkig neem ik alweer twee jaar lekker de auto. 25 minuten sneller op m'n werk, alleen mijn eigen geluidsoverlast en nooit meer een aansluiting missen.

[Rey Nemaattori]

Tja, die genen die 't kraken weten 't ook te beveiligen.

Ik vraag me aleen af hoe de overheid op zo'n open source project reageert? Nemen ze 't met twee handen aan? of voelen ze zich gekrent in hun trots dat een universiteit(okok wel een flinke) een beter systeem heft bedacht voor (ongetwijfelt) veel minder geld.

En dan maar hopen dat mensen 't ding ook gaan gebruiken. Ik heb een vergelijkbaar systeem in London in werking gezien: the oyster card...echt subliem..portomonee of sleutelbos over de witte schijf halen & klaar.

[fub]

En dan maar hopen dat mensen 't ding ook gaan gebruiken. Ik heb een vergelijkbaar systeem in London in werking gezien: the oyster card...echt subliem..portomonee of sleutelbos over de witte schijf halen & klaar.

De hackers uit Nijmegen hadden de Oyster card ook al gekraakt -- ze konden 'em klonen, er mee reizen en het bedrag weer ophogen! Dus het systeem wat ze nu gaan bedenken zal ook beter dan de Oyster card zijn.

[HoeZoWie]

Quote: "Tja, die genen die 't kraken weten 't ook te beveiligen."

En daar kun je nou vraagtekens bij zetten, want hoe zit het met vertrouwen?
Iemand kan iets maken, omdat hij beweerd alles er van te weten, hij kan dat ook aantonen..., maar kan hij ook niet een extra 'backdoor' toevoegen voor zichzelf ?? Zonder dat iemand dat door heeft?
Ja toch?
Niemand heeft er toch verstand van...?
Cirkeltje weer rond, vraag hieruit; waar zijn de grenzen?