Onderzoekers publiceren omstreden rapport over Mifare-hack

Medewerkers van de Radboud Universiteit Nijmegen die de OV-chip kraakten, hebben maandag een uitgebreid artikel over de problemen met de chip gepubliceerd. Ook geven de onderzoekers advies omtrent de beveiliging van de kaart.

De invoering van de OV-chipkaart zou, sinds de problematiek met de gebruikte rfid-chip aan het licht kwam, tientallen miljoenen euro's meer hebben gekost dan was begroot. De gebruikte rfid-chip, de door Philips-dochter NXP ontwikkelde Mifare Classic, bleek met simpele hardware eenvoudig te kraken. Niet alleen de invoering van de OV-chipkaart in Nederland kwam door de kwetsbaarheid van de Mifare-chip op losse schroeven te staan, ook internationale implementaties van de Mifare Classic-chip, zoals de Oyster Card voor het Londense vervoersnet, kwamen door de kraak in diskrediet.

Politieke gevolgen bleven vooralsnog uit, hoewel staatssecretaris van Verkeer en Waterstaat Huizinga, verantwoordelijk voor de invoering van de OV-chipkaart, behoorlijk onder vuur werd genomen. De commissie-Kist, door Huizinga belast met een onderzoek naar de financiën rond de OV-chipkaart, becijferde de kosten van de rfid-chip. Het voorlopige rapport van die commissie geeft aan dat de vertraging die de gebrekkige beveiliging van de Mifare-chip heeft veroorzaakt, plus de aanpassingen die door de gebreken noodzakelijk zijn geworden, minimaal honderd miljoen euro aan extra kosten hebben veroorzaakt. De begroting voor het invoeren van de Mifare-chip voor het openbaar vervoer was op 249 miljoen euro begroot, maar dat bedrag zou allang zijn overschreden.

Bovendien zullen de operationele kosten na de invoering aanzienlijk hoger dan begroot liggen, zo voorspelt de commissie. Tot 2017 is 33 miljoen euro begroot, maar dat bedrag zou op ruim 50 miljoen euro uitkomen. In die kostenraming zitten echter nog veel onzekerheden, zo geeft Kist aan, aangezien niet alle gegevens bekend zijn.

De door de Radboud Universiteit gepubliceerde stukken beschrijven de kraak van de Mifare-chip. Chipfabrikant NXP trachtte deze publicatie te verhinderen via een kort geding, maar op 18 juli oordeelde de rechter in het nadeel van NXP. De zaak kwam aan het rollen toen ontdekt werd dat de Mifare Classic-chip een eenvoudige cryptografische beveiliging heeft. Door een klein stukje communicatie tussen de kaartlezer en de rfid-chip af te luisteren, bleek de crypto-1-versleuteling eenvoudig te kunnen worden doorbroken. De kaarten kunnen ook eenvoudig gekloond worden, zodat niet alleen het betalingsverkeer voor de OV-chipkaart onveilig bleek, maar ook de privacy van de gebruikers in het geding kwam.

Naast een uiteenzetting hoe de Mifare-chip in elkaar steekt en hoe de gebrekkige beveiliging ervan omzeild kan worden, geven de Nijmeegse onderzoekers ook hun visie op een oplossing voor de OV-chipkaartproblemen. Ze wijzen er echter op dat elke maatregel niet veel meer kan opleveren dan extra tijd om een vervangende chip te zoeken. Wel zou de huidige chip een basaal niveau van beveiliging kunnen bieden, mits met de tekortkomingen van het systeem rekening wordt gehouden.

Reacties (75)

[Left]

Via iemand die voor dit project gewerkt heeft weet ik dat de hele administratie op je OV-kaart van de ritten die je hebt gemaakt ook 1 grote puinzooi is. Het is gewoon te ingewikkeld gebleken om 1 kaart te gebruiken voor een rit met meerdere busmaatschappijen.

Met andere woorden: Dit project is 1 groot drama. Net zoals eigenlijk alle andere grote IT projekten die aanbesteed zijn door overheidsinstanties; denk aan bijvoorbeeld:
- de belastingdienst
- de UWV
- de studiefinanciering (20 jaar geleden al!)

Wanneer wordt men in de tweede kamer nou eens een keer wakker?

[Dlocks]

IT-projecten bij de overheid zijn redelijk openbaar en komen dan ook (vooral als het mis gaat) snel in het nieuws. Maar hoe zit het bij grote IT-projecten in het bedrijfsleven? Gaat het daar ook zo vaak mis?

Zou het kunnen zijn dat het probleem niet alleen bij de overheid voorkomt maar ook bij het bedrijfsleven? En zou het dan zo kunnen zijn dat het probleem niet zozeer bij de opdrachtgever maar bij de opdrachtnemer zit? Met andere woorden, het zou kunnen zijn dat grote IT-bedrijven simpelweg niet capabel genoeg zijn om dergelijke grote projecten met succes en volgens planning te voltooien.

Of misschien zijn zowel de opdrachtnemer als de opdrachtgever niet capabel genoeg.

[blouweKip]

Het zal daar zeer waarschijnlijk net zo vaak mis gaan, maar de overheid is een mooi doel om op te zeiken dus zul je er meer over horen

[cire]

Er is wel een verschil mijns inziens...

Bij de overheid heb je te maken met de 2de kamer. Ik ben helemaal voor democratie, maar voor dit soort grote IT projecten is het een ramp.

Ik kan me een uitspraak van een 2de kamer lid herinneren (bij de belastingdienst problemen), dat de complexiteit van een maatregel geen reden is om het niet uit te voeren.

Principieel is dat natuurlijk hardstikke goed, maar praktisch kan dat natuurlijk enorm uit de klauwen lopen.

[psyBSD]

Ik ben bang dat alle negatieve publiciteit straks wordt afgeschoven op deze chip terwijl deze chip slechts een onderdeel van het probleem is.

De hele architectuur moet op de schop, door de aard van het systeem kan de privacy niet worden gewaarborgd.

Maarja, straks zal de chip wel worden vervangen (door mifare-ov-r2, die heeft een rooie sticker) en dan waait dit weer over.

Terwijl het eigenlijke probleem nooit is aangepakt.

[PinQ]

Slechte zaak dat deze chip zo slecht beveiligd was. Ik vraag me af waarom hier niet beter op is gelet.
Als je een chip maakt die voor dit soort doeleinden gebruikt wordt kan je verwachten dat mensen de chip zullen proberen te kraken.

De hack werkte trouwens toch alleen op prepaid kaarten? Dacht ik in ieder geval.

[Rob Coops]

Ik vraag me af waarom hier niet beter op is gelet.

Dat is simpel te beantwoorden...
Zelfs NXP heeft al lang een betere chp op de markt en er is al van af het eerste begin aangegeven dat deze chip wel eens erg makelijk te kraken zou kunnen zijn, natuurlijk was er toen nog geen onderzoek naar gedaan en de mensen die de beslising maakte hebben natuurlijk totaal geen gevoel voor techniek maar keken naar het budget wetende dat ze natuurlijk toch over budget zouden gaan maar als je dat doet omdat je een duurdere optie kiets dan is het jouw schuld zeker als je dat niet kunt onderbouwen.
Dus de keuze werd gemaakt en geduurende lange tijd hebben de mensen verantwoordelijk voor dit project de informatie die zij al lang hadden dat het best wel eens heel snel gekraakt zou kunnen worden onder de pet gehouden. Toen de onderzoeks gemeenschap zich op de chip storte zakte de beveiliging als een kaarten huis in elkaar, en nog steeds is er van zeer hoge posities geprobeert de berichtgeving af te zwakken en aan te passen.
Raporten weren minder kritisch gemaakt en onderzoekers werden verteld dat hun theoretische methodes nog lang niet in de praktijk rendabel gemaakt zouden kunnen worden, de ontwikkeling ging door.
Ook toen een counter expertize gedaan door een engels instituut nog meer fouten en een nog harder oordeel leverde werd dit nog niet als rede gezien veranderingen te maken, want dat zou betekenen dat er iemand schuldig is en dat kan natuurlijk niet in de ambtenaren wereld.

Nu dit raport van de Radboud Uni. de voledige beveiliging door ligt en duidelijk maakt hoe kinderlijk eenvoudig het is om deze kaarten te kraken is er natuurlijk niemand verantwoordelijk en zal er niets aangepast worden daarvoor zijn we al te ver met dit project.
Het gaat dus geen 290 maar minimaal 390 Miljoen kosten, geen 33 Miljoen euro tot 2017 maar minimaal 50 Miljoen euro. Natuurlijk gaan we daar nog flink overheen dus de totale kosten zullen waarschijnlijk rond de 600 Miljoen liggen tegen 2017, maar dan hebben we ook wel een totaal onveilig systeem waar alleen de beveiliging al een rede is om er geen gebruik van te maken. Dan spreken we nog niet eens over de grove schending van het recht om je vrij te bewegen in het land, de karten staan immers op naam en de overheid kan dus ten alle tijden bijhouden waar je gaat en staat, met wie je in de trein, tram, bus of metro zit en zo voort.
Dit project is een totale flop waar over een jaar of twee een staats secretaris met een grote smile de eerste kaart in ontvangst neemt en door een poortje loopt denkend; als ze toch eens wisten...

[Nappie]

Lijkt me helder.

Blijft er een vraag over: waarom wordt deze OV-chipkaart ingevoerd?
M.a.w.: welk probleem moet opgelost worden door een digitaal vervoersbewijs in te voeren?

Misschien mis ik iets, maar zoveel is er toch niet mis met het huidige systeem dat je voor meer dan een kwart miljard (zal wel een half miljard worden) moet investeren?

Dezelfde vraag kon ook al niet goed beantwoord worden voor de stemmachines. En ziedaar, het rode potlood komt weer terug.

Ik heb de indruk dat dit soort projecten vooral ontstaat door een succesvolle lobby vanuit de IT-branche.

Vorig jaar stond Zsolt Szabo (voormalig kamerlid VVD en nu vice-president bij Capgemini voor dienstverlening aan de overheid) voor een volle zaal te vertellen hoe het moest: de overheid moet volgens hem meer luisteren naar de grote IT-bedrijven want die hebben de betere ideeën; zo leek het hem een goed idee om allerlei zaken (zoals bankpas, identiteitskaart, OV-kaart, etc.) allemaal op één kaart onder te brengen. Waarom? Omdat het kan en het is zo makkelijk. Ofwel, zodat Cap een dik project binnen kan halen.
Zaken als security en privacy zitten duidelijk niet voorop in je denkbeelden als je met dit soort ideeën komt.

[ILT]

Lijkt me helder.

Blijft er een vraag over: waarom wordt deze OV-chipkaart ingevoerd?
M.a.w.: welk probleem moet opgelost worden door een digitaal vervoersbewijs in te voeren?

Misschien mis ik iets, maar zoveel is er toch niet mis met het huidige systeem dat je voor meer dan een kwart miljard (zal wel een half miljard worden) moet investeren?

Simpel: het is een politiek prestigeproject. Hier worden de middelen gerechtvaardigd door het doel. Aangezien de overheid geen enkel project goed kan managen (nog even afgezien van de schade/welvaartsverlies dat het oplevert), zie de zorg, veiligheid, rechtspraak, financiële systeem, moet het falen van dit project geen verrassing zijn. Private partijen smijten met hun eigen geld, dus zullen dit rationeel en gefundeerd uitgeven, en zo niet: dan zijn ze zo failliet. De overheid heeft een potentieel veel oneindiger bron van 'inkomsten', het is immers 'maar' belastinggeld. De negatieve incentives die hiervan uitgaan zijn evident. De empirie van allerdaags en dagelijks overheidsfalen zijn hier illustraties van. Oftewel: welk probleem met welke rationaliteit moet opgelost worden met dit project is niet te zeggen omdat politieke wensen niets meer of minder zijn dan onze individuele wensen, en niet het gevolg van een soort van cummulatie van collectieve reflectie van wensen (mochten mensen denken dat democratie wel zo werkt: opent gaarne je ogen) . Het project is qua initiatie puur arbitrair, en wat het 'mag' kosten evenzeer zo.

[Golodh]

De reden dat men zo tuk is op een electronisch vervoerbewijs is wat complex, maar toch goed te begrijpen.

Ten eerste is er het geweld in het OV tegenover conducteurs en chaufferus, met name door zwartrijders. Dat speelt al heel lang, het gaat niet over, en het is verschrikkelijk voor de betrokkenen. Conducteurs hebben geen politietaak, en staan er helemaal alleen voor als de een of andere zwartrijder amok maakt, laat staan als deze een mes trekt en op ze begint in te steken.

Voor dit probleem werd een technische remedie bedacht: electronische poortjes op alle stations zoals je die b.v. ziet in de Metro. Die poortjes moeten een electronisch leesbaar kaartje hebben; zonder geldig kaartje kom je niet eens het perron op. Agressie wordt dan in eerste instantie tegen de poortjes of de kaartjesautomaten gericht, en kan veel betre bestreden worden op het perron dan in een rijdende trein ergens. Als je dat goed aanpakt, dan kan je zwartrijders uit het OV houden, en daarmee een van de hoofdoorzaken van geweld in het OV wegnemen.

Dit alleen al is a reden on een electronisch kaartsysteem in te voeren voor treinen.

Ten tweede is er de wens om alle OV toegankelijk te maken met een enkel kaartje en een enkele transactie. Dat maakt het gemakkelijker om van het OV gebruik te maken, en verlaagt daarmee de drempel van het OV gebruik. Dit is de reden om een electronisch OV kaartje landelijk in te voeren.

Ten derde is het voor zowel de overheid als de vervoerbedrijven interessant om te weten *wie* er reist, wanneer, tegen wat voor prijs, en van waar naar waar. Met deze gegevens kan een vervoerbedrijf b.v. gericht marketing voeren, en kan b.v. de overheid laten uitzoeken hoe het OV in de markt ligt.

Ten vierde is er het kostenelement van de betalingen voor het OV. Kaartjes drukken, distribueren, controleren, en ontwaarden kost geld. Conducteurs op de trein laten meerijden om kaartjes te laten controleren en ontwaarden kost ook geld. Het liefst wil een vervoerbedrijf daar vanaf. Electronische kaartjes in combinatie met strenge toegangscontrole maakt dat mogelijk.

Rekening houdend met het feit dat deze kaartjes in Hong Kong ("Octopus") en London ("Oyster Card") al lang ingang gevonden hebben en zeer successvol zijn, is het voor de verantwoordelijke beleidsmedewerkers een kleine (en erg voordehand liggende) stap om te zeggen "doe mij ook maar zo'n Oyster Card". Daar is op zich weinig tegen in te brengen, en er is ook niets structureel mis mee.

De problemen begonnen echter bij het bezuinigen op de cryptografische kwaliteit van de chipcards. Dat was niet zo slim. Verder is het zo dat zo ongeveer elk groot overheidsproject uit zijn begroting loopt. Waarom dat zo is weet ik niet.


Het zou kunnen zijn dat men "strategisch" budgetteert. Ik stel mij een (volstrekt hypothetische) gedachtegang van een voor dit project verantwoordelijke topambtenaar ongeveer als volgt voor:

"Hmm ... die Minister was weer eens niet te houden. Dit systeem moet en zal worden ingevoerd. Op zich redelijk. Maar als ik er een reeel prijskaartje aan hang dan wil de Kamer het niet en loopt mijn Minister politieke schade op. Als goed ambtenaar moet ik loyaal zijn aan mijn minister, dat staat in de wet, dus dat kan ik niet laten gebeuren. Hmm wat kan ik doen? Er is maar een mogelijkheid, en dat is die prijs omlaag brengen.

Waar kan ik in de begroting snoeien zonder dat ik of de Minsiter er later op vastgepind kunnen worden? Ah, ik weet het ... ik ga ervan uit dat alles meevalt en glad verloopt (het Utopia scenario), en ik kies de allerlaagste offerte die ik tegenkom. Optimisme is niet strafbaar. Hmm ... alleen zie ik die en die problemen al om de hoek aankomen, dus ik budgetteeer dat maar als "onvoorzien". Hmm ... dit prijskaartje red het wel denk ik, alleen hoe dek ik mijzelf en de Minister in tegen kritiek later? Ah, ik weet het al, het standaardrecept. Inspraak rondes en consultaties met deskundigen. Het Poldermodel *grijns*. Ik geef iedere deskundige alleen het plaatje te zien wat op zijn eigen vakgebied ligt. En de accountants krijgen alleen het budget op hoofdlijnen te zien. Weten zij veel van de onderliggende risico's. De enige die het totaaloverzicht en enig inzicht in de details heeft ben ik. Oh ja ... en collega XXX. Nou ja, ik weet ook van zijn projecten waar de schoen wringt, dus die houdt zijn mond wel.

De Minister weet inhoudelijk al helemaal van niets en dat moeten we vooral zo houden; kan'ie nooit verweten worden dattie van de problemen op de hoogte was, toch? En bovendien ... deze minister wil niks weten van problem en complicaties. Die heeft maar een ding in z'n kop, en dat is: invoeren die hap. En snel ook. Daadkracht tonen voor het einde van z'n ambtstermijn ... *zucht*.

Ok ... heb ik aan alles gedacht? Oh ja ... er moet geen onafhankelijk instituut naar gaan kijken. Bah. Dat risico kan ik niet uitsluiten. Ik kan het echter wel minimaliseren door in de Brief naar de Kamer te schrijven dat zo'n systeem in Londen al operationeel is. Is nog waar ook. Ok ... zo gaan we het aanpakken. Laat ik het maar aan de Minister presenteren en in de pijplijn schieten."

[Verwijderd]

Een mooi betoog (waar ik het beleefd mee oneens ben), maar ik zie niet hoe het OV veiliger wordt door conducteurs door een toegangspoortje te vervangen. Bovendien geeft zo'n conducteur als hij er is nog een beetje een veilig gevoel. Vooral in de trein waar de machinist ver weg is van de coupé en zijn cabine niet uit zal komen als er problemen zijn.

En zouden er ook geen anonieme kaartjes komen, tenminste in het begin? Dan weet je dus nog niet wie kauwgom op je stoelen heeft zitten plakken. Bovendien discrimineert een RFID zuil niet tussen gestolen en niet gestolen abonnementen kaarten. Dus die zullen wel massaal geroofd worden door het tuig dat het openbaar vervoer nu onveilig maakt. Voor eenmalig gebruik let wel, voor het verkleinen van de pak kans. Slachtoffers zat bij de bushalte! Het kan zelfs zonder dat ze het merken met de juiste hardware.

Veiligheid kost geld. En dat kan je niet met een computer oplossen. Zo slim zijn machines immers nog niet.

[blouweKip]

Private partijen smijten met hun eigen geld, dus zullen dit rationeel en gefundeerd uitgeven, en zo niet: dan zijn ze zo failliet.

Je bedoeld zoals de banken gedaan hebben? die hebben toch tegen de ratio in redelijk wat fouten gemaakt die de overheid nu moet repareren om het niet helemaal uit de hand te laten lopen.

Ik gok dat de noodzaak van een uniform OV systeem er wel is, alleen door het uitkleden van de overheid is de expertise weg, wat dus voor meer problemen en kosten zorgt (fantastisch die kleinere overheid)

[Dynacomp]

Die kaart die zowel bankpas als ov kaart is bestaat al jaren. De chipknip.Daar is vast wel een is kaart aan vast te knopen

[robertwebbe]

Dan spreken we nog niet eens over de grove schending van het recht om je vrij te bewegen in het land, de karten staan immers op naam en de overheid kan dus ten alle tijden bijhouden waar je gaat en staat, met wie je in de trein, tram, bus of metro zit en zo voort.

Als je denkt dat je nu nog anoniem bent, dan help ik je bij deze even uit de droom. De verplaatsingen van alle mobiele telefoons worden ook al bijgehouden en langdurig opgeslagen. Als je echt anoniem wilt zijn, verhuis dan naar een land zoals Suriname waar het eigenlijk nog een beetje een vrijstaat is op het gebied van privacy.

[Verwijderd]

Een mobiele telefoon kan je uitzetten of thuis laten liggen. Rekeningrijden en de OV Chipkaart kan je niet uitzetten. Zeker niet als je het perron van je trein op wilt of de ring van Amsterdam tijdens de spits.

Het komt er uiteindelijk op neer dat je alleen met de fiets en te voet nog anoniem kan reizen. Of door fraude te plegen.

[Reactie gewijzigd door Verwijderd op 26 juli 2024 12:30]

[Verwijderd]

Een eerste hack werkte alleen op prepaid kaarten, latere hacks werkten op alle kaarten.

[Verwijderd]

Philips heeft NXP denk ik snel verkocht om geen schade te ondervinden van de slechte publiciteit en mogelijke aansprakelijkheid van NXP voor schade door slechte beveiliging.
Daar lijkt het tenminste wel op. Het lijkt erop of men de bui al zag hangen. Er zijn veel van die chips in omloop heb ik eens uit een artikel begrepen dus je kunt wachten op de schadeclaims en de negatieve publiciteit die er nog komen gaat .

[Verwijderd]

Dat is natuurlijk het betere complotdenken wat jij hier doet. De oprichting van NXP werd aangekondigd op 31 augustus 2006, de eerste hack van de MIFARE classic werd in december 2007 bekendgemaakt.

[Verwijderd]

NXP is misschien nieuw, maar de Mifare chip is al ouder als dat. Het is alleen nu eigendom van NXP, dus daarom snap ik wel dat Philips eraf zou willen.

[Little Penguin]

Slechte zaak dat deze chip zo slecht beveiligd was.

Tsja, dat krijg je als je voor techniek van een aantal jaren terug kiest.

Als je een chip maakt die voor dit soort doeleinden gebruikt wordt kan je verwachten dat mensen de chip zullen proberen te kraken.

Aan de andere kant, om welke orde-grote van bedragen gaat het?


Als je er voor zorgt dat iets vandaag onkraakbaar is, dan kan het overmorgen wel te kraken zijn - dus helemaal tegenhouden doe je het niet. Toch denk ik wel dat het een stuk lastiger geweest zou zijn als men voor de encryptie e.d. voor techniek van nu en niet van een paar jaar terug gekozen zou hebben...

[IStealYourGun]

SSL is uit 1993 en wordt nog steeds als standaard gebruikt, slecht argument om te stellen dat een technologie van enkele jaren oud niet meer veilig is.

[DeTeraarist]

SSL is uit 1993 en wordt nog steeds als standaard gebruikt, slecht argument om te stellen dat een technologie van enkele jaren oud niet meer veilig is.

Uhm SSL heeft sinds 1993 nog al wat updates gehad. Als je nu nog met de versie uit 1993 speelt dan ben je ook niet veilig. En daar zien we ook meteen een ander probleem, software kan nog vrij makkelijk ge-update worden, een chippie zal, eenmaal uitgebracht, niet meer geupdate kunnen worden. Of je moet iedereen elke maand effe langs de RFID boer sturen om een nieuwe te halen.

[Little Penguin]

In de tussentijd heeft men dus wel meerdere versies van SSL uitgebracht en heeft men de sleutellengte van SSL flink opgeschroeft.

Het gaat er ook niet om wanneer de techniek uitgevonden is, maar of je de meest recente versie gebruikt (dat komt inderdaad niet helemaal naar voren in mijn verhaal). Door niet de meest recente versie te gebruiken zijn deze problemen ontstaan.

[Verwijderd]

Slecht voorbeeld echter want Netscape had toen een onveilige versie van SSL en deze was buiten Amerika ook nog eens 40 bits!
http://www.gnu.org/softwa...-and-older-protocols.html

[Pixeltje]

Als je een chip maakt die voor dit soort doeleinden gebruikt wordt kan je verwachten dat mensen de chip zullen proberen te kraken.

Dat maakt niet uit. Het gaat, aldus het nieuwsbericht, ook om persoonsgegevens!

[Superstoned]

simpel gezegd; security through obscurity. ICT veiligheid werkt pas wanneer iedereen weet HOE het werkt, maar er toch niet binnen kan komen. Rob hierboven geeft dit al aan, maar ik wilde het nog even benadrukken...

[Meelobee]

En toch maar stug doorgaan met het project. Vanochtend een pipo op de radio (3fm) die verkondigde dat de huidige strippenkaarten ook heel duur zijn. "Ga maar eens na hoeveel strippenkaarten er per jaar door reizigers verloren worden." Ja zo ken ik er nog een paar.

[G3lderland]

Ik vraag me af hoeveel strippenkaarten Nederlanders hadden kunnen kopen met het geld dat nu al aan de OV-chipkaart is uitgegeven? Sorry, kan het niet laten om af te geven; ik erger me kapot aan deze verspilling.

[Megamind]

En dat riepen ze 40 jaar geleden ook toen je niet met dubbeltjes in de bus kon betalen en je een strippenkaart moest kopen.

Dat heeft vooruitgang, en helaas wordt het bemoeilijkt door een bedrijfje dat goedkoop een kaartje wil maken zodat ze zelf veel geld kunnen binnenhalen van de overheid.

Ik weet niet hoe het nu verder gaat, maar ik hoop dat ze toch wel een ander bedrijf gaan zoeken dat wél verstand heeft van beveiligingen.

[Dannisi]

Het ontwerp van de kaart komt al uit '94 he.
Dat de overheid nou te cheap is om een goed systeem te kopen..NXP heeft beter beveiligde chips, maarja die zijn ook duurder

[Little Penguin]

Dat lijkt met wel heel sterk. Dat zou betekenen dat men aan het expirimenteren geweest is met een Chipper terwijl er al een OV-kaart ontworpen zou zijn? (ZWN-Groep in Zeeland).

Verder zijn het de OV-bedrijven dus gezamenlijk verantwoordelijk zijn voor het ontwerp e.d. van de kaart - dus de stelling "dat de overheid nou te cheap is", dat gaat dus weer wel te ver.

Het enige dat deze overheid (maar ook de vorige in de afgelopen plm 10 jaar) fout doet en gedaan heeft is de bedrijven zelf maar een eind aan te laten rommelen. En dat pakt nu net verkeerd uit, in hoeverre eventuele bemoeienis geholpen zou hebben is wel de vraag - maar onder de huidige omstandigheden zal de overheid meer moeten sturen. Grote kans echter dat de overheid van 10 jaar geleden deze mogelijkheid dus niet ingebouwd heeft en wij (als burger, maar ook als overheid) zitten nu met de gebakken peren van foute beslissingen van de overheid van 10 jaar terug....

[G3lderland]

Klopt niet wat je zegt. Strippenkaarten hebben contante waarde, net zoals postzegels. Als je voor 12,- een strippenkaart koopt, kun je voor 12,- reizen. De chauffeur/conducteur hoeft niet af te rekenen, enkel te stempelen of te knippen. Klaar.

Bij de ov-chipkaart moet je een complete infra aanleggen om ueberhaupt gebruik ervan te kunnen maken. Die overhead kosten maken het project duur al helpt incompententie natuurlijk ook.

[Verwijderd]

Dat is ook een beetje het doel publiek van Radio 3 vrees ik

Een verloren strippenkaart is winst voor de vervoersbedrijven, tenzij de kaart door iemand gevonden wordt. Wel geld innen maar er geen product voor leveren (OV).

Dit kan je ook zeggen van de Mifare chip trouwens. Dit ligt op straat zodra die uit de automaat rolt. Maar de abonnementhouder die betaalt het uiteindelijk als zijn chip gekloond wordt! (Of hij kan niet reizen omdat zijn chip geblokkeerd is).

Nee, Huizinga heeft er goed over nagedacht:
Ga ik met het openbaar vervoer? Nee? Dan heb ik er geen last van.

[Little Penguin]

Nee, Huizinga heeft er goed over nagedacht:

Het idee is een aantal kabinetten geleden (een jaar of 10 oid) bedacht en wordt nu pas concreet - deze staatssecretaris kun je op dat gebied dus niets verwijten.

Hooguit dat ze de bedrijven (TLS et al) zelf te veel vrijheid geeft, maar dat kan ook 10 jaar geleden zo afgesproken zijn....

[hackattack]

"deze staatssecretaris kun je op dat gebied dus niets verwijten"

Politiek blijft ze verantwoordelijk, ook voor de beslissingen van voorgangers ben je gewoon verantwoordelijk.

Verder zou je eigenlijk Karla Peijs (voorm. minister Verkeer) nog even moeten vragen wat ze precies bedoelde met de "Big Bang" in haar brief aan de 2de kamer in juni 2004. Misschien is dat wel dat het hele ding een KLAP duurder wordt en vooral groots en meeslepend uitloopt.

De brief (leuke kost in deze tijd): http://www.verkeerenwater...8165567_tcm195-137137.pdf

[Verwijderd]

Nee. De enige reden dat de OV Chipkaart door de strot van de kiezer wordt geduwd is dat het kabinet wel eens zou kunnen vallen als er een motie van wantrouwen jegens haar door komt. En dit kabinet is al niet al te populair.

Na verkiezingen zou er trouwens wel eens een veel verstandiger staatssecretaris van verkeer kunnen komen. Daar zijn verkiezingen juist voor! Democratie! Wil van het volk!

Wat 10 jaar geleden trouwens veilig was hoeft dat nu niet meer te zijn. Kijk maar naar onze Nedap stemmachines een paar jaar terug. Daar is uiteindelijk gelukkig wel de technisch juiste keus gemaakt (het rode potlood).

[G3lderland]

Niet correct. Huizinga heeft zich te verdiepen in de materie. Probleem is een compleet gebrek aan vakkennis bij politici in het algemeen. Maar ik dwaal af...

[blouweKip]

gezien de peilingen wordt t alleen maar minder wat betreft politici met kennis, schijnbaar vind men het gebrek aan kennis juist een pre als het gaat om politici..

[Little Penguin]

Politieke gevolgen bleven vooralsnog uit, hoewel staatssecretaris van Verkeer en Waterstaat Huizinga, verantwoordelijk voor de invoering van de OV-chipkaart, behoorlijk onder vuur werd genomen.

Voor zover ik weet is zij alleen verantwoordelijk voor het tijdstip waarop je niet langer meer van de strippenkaart (et al) gebruik kunt maken. Voor het overige heeft een vorige kabinet de verantwoordelijkheid bij "de markt" (=ov bedrijven zelf) onder gebracht.

Niet dat eenzelfde debacle niet voor had gevallen als de overheid 't zelf gedaan zou hebben - misschien dat 't zelfs wel erger geweest zou zijn dan.

[nielsl]

even vanaf een andere kant belichten, maar is het niet zo dat we altijd maar af geven op de overheid omdat ze niets doen? Natuurlijk, er zijn foute keuzes gemaakt maar is het niet zo dat een dergelijk project juist een boost kan geven aan de ontwikkeling van kennis.

In dit geval zou ik namelijk beargumenteren dat er, nu blijkt dat systeem 1 niet werkte, er wordt geinvesteerd in onderzoek naar methode 2, of 3 of 4. Vooruitgang komt immers met stapjes en gaat met vallen en opstaan. Door de overheidsinvesteringen op het gebied van de OV chipkaart wordt er van alle kanten weer verder gekeken of het niet beter kan. Hackers die een beveliging proberen te kraken zijn op die manier dus onderdeel van het ontwikkelingsproces en zorgen ervoor dat wetenschappers en ontwikkelaars ook scherp blijven en hun producten steeds proberen te verbeteren.

Natuurlijk zijn er politiek gezien blunders gemaakt, hadden dingen beter uitgezocht moeten worden, maar geeft een dergelijk project nou juist niet de kans aan het nederlandse IT bedrijfsleven (i.c. Philips) de mogelijkheid om te laten zien wat het écht kan?

[Elwood Blues]

Al had het kabinet Van Agt de OV chipkaart bedacht en het hele traject al vastgelegd, de huidige ministers en staatssecretarissen blijven verantwoordelijk en kunnen desnoods tot aftreden gedwongen worden. Toch?

[Little Penguin]

Gedeeltelijk waar.

In hoeverre is de minister van OCW verantwoordelijk voor het doen en laten van de omroepen?

Het hele proces is op afstand van de overheid geplaatst en is in handen van de OV-bedrijven zelf gegeven, de staatssecretaris zelf is dus direct niet echt iets te verwijten. Het enige dat ze misschien meer/beter kan doen is de bedrijven (en translink systems) nog meer controleren en meer sturen (voor zover ze daar de mogelijkheden voor heeft.)

[MSalters]

Ja. Het is alleen minder gebruikelijk om ministers af te laten treden als hen geen persoonlijk verwijt te maken valt. De voornaamste klacht richting Huizinga is nu dat ze de marktpartijen niet voldoende achter de vodden zit.

[THM0]

Correct. 'Politiek verantwoordelijk' en 'persoonlijk te verwijten' zijn niet noodzakelijk aan elkaar gekoppeld in de politiek.

[Killemov]

Bijna security door obscurity zou ik zeggen. Dat er al zoveel geld over de balk is gesmeten voor voor het pilot-draaien van een bestaand systeem met zulke slechte features. Openbaar vervoer gratis maken dan maar?

[Loekie]

Is de chip die nu in de chipkaart komt dezelfde of een gereviseerde chip? Dat wordt me niet echt duidelijk in dit verhaal, terwijl dat het meest interessante is.
Zijn de aanpassingen dusdanig dat ik niet net zo goed m'n bankpas met de pincode erop geschreven in de trein hoef te laten liggen?

[Verwijderd]

maar ook de privacy van de gebruikers in het geding kwam.

Aantasting van de privacy is toch de hoofdreden om het systeem uberhaupt in te voeren?