OV-Chipkaart: een onveilige toekomst - deel 2

Geachte heer Koeroo,

Hartelijk dank voor uw vraag. Hierop kunnen we u het volgende antwoorden.

Ik stuur u deze e-mail in reactie op de e-mail die u onlangs heeft gestuurd over de veiligheid van de OV-Chipkaart. Omdat de OV-chipkaart producten met potentieel hoge waarde omvat, is er voor gekozen om met een chip te werken die standaard over een hoog beveiliging niveau beschikt. Daarnaast zijn extra maatregelen genomen, zowel in de applicatie op de kaart als in de apparaten op de perrons en in de voertuigen. U zult begrijpen dat wij niet inhoudelijk ingaan op welke wijze de beveiliging concreet is geregeld.

Wij vertrouwen erop uw vraag hiermee voldoende beantwoord te hebben.

Als u nog vragen heeft, dan kunt u terecht op onze website: www.ov-chipkaart.nl of u kunt telefonisch contact opnemen met de Klantenservice OV-chipkaart, 0900-0980 (0,10 euro p.m.).


Met vriendelijke groet,

Catie Haver
Afdeling klantenservice OV-chipkaart


Yeah, wat een reactie. Logisch natuurlijk dat ze niets prijs geven. Op de RFID pagina op Wikipedia (in het Nederlands) wordt er uitgelegd wat de mogelijke RFID chips zijn. Ze kunnen alleen gelezen worden, beschreven worden, actief of passief zijn. Maar het blijft een feit dat alle vormen niets meer dan een lang en uniek nummertje kan afgeven. Dat betekent simpelweg dat er geen mogelijkheid bestaat om echte beveiligings maatregelen toe te passen.

Een Chipper/Chipknip zal het saldo pas vrijgeven van je pasje als de cryptografische controle van het kastje is goed gegaan. Dus, er wordt gecontrolleerd of het kastje goed is en daarna vindt de transactie plaats. Bij PIN-passen wordt er (tegenwoordig ook in Frankrijk) gekeken of jij wel de eigenaar bent van de PIN-pas. Er is geen cryptografisch vraag & antwoord spel aan de gang met RFID-chips, omdat ze niets meer kunnen dan hun nummertje afgeven in een magneetveld.

Dus, als ik alle mogelijkheden van een RFID chip in overweging neem, dan kan ik persoonlijk niet anders concluderen dan dat de infrastructuur van TLS (de OV-Chipkaart exploiteur) heel veilig kan zijn, maar ik kan geen beveiliging ontdekken bij mij, de consument.

Ik zal nooit (veel) geld op mijn OV-chipkaart laden. Ik heb met mijn NS abonnement een bewijs op paier dat ik het abonnement bezit. Dat bewijs is er niet als ik er geld op laad en iemand anders misbruikt mijn pas om er iets mee te kopen.

Blijkbaar was ik in die zelfde week niet de enige die dit inherente beveiligingslek heeft ontdekt. In de Spits, Metro, Nu.nl zijn er al artikelen tevoorschijn gekomen die aantoonden dat het met de tijdelijke OV-Chipkaartjes werd. De poortjes zijn allemaal hetzelfde en de kaartjes ook, dus dit principe kan ook met mijn kaart worden losgelaten!

Voor $99,00 (excl. verzendkosten) kan je zelf een RFID-lezer en schrijver kopen by ThinkGeek. Je krijgt er gelijk een paar lege RFID-chips bij om je OV-Chipkaart er mee te kunnen kopieren.