De gekraakte chip van Philips’ voormalige chipdivisie NXP blijkt verwerkt in de Nederlandse ov-chipkaart. Chipproducent NXP ontkende gisteren nog tegenover Computable dat de kraak van het encryptie-algoritme in deze Mifare-chip een beveiligingsprobleem is.
Op het Chaos Communication Camp in Berlijn maakten twee Duitse hackers eind december bekend dat ze het versleutelingsalgoritme van een bepaald type rfid-chip van NXP konden kraken. Nu blijkt dat de Mifare-chip onderdeel is van de ov-chipkaart.
Op de officiële website van de ov-chipkaart staat in een FAQ-lijst als antwoord op de vraag ‘Is de ov-chipkaart beveiligd?’: "Ja, omdat de OV-chipkaart producten met potentieel hoge waarde omvat, is ervoor gekozen om met een chip te werken die standaard al over een hoog beveiligingsniveau beschikt (Mifare). Daarnaast zijn er extra maatregelen genomen, zowel in de applicatie op de kaart als in de apparaten op de perrons en in de voertuigen."
NXP had gisteren juist in een officiële verklaring aan Computable gemeld dat de gekraakte Mifare rfid-tag niet bedoeld is voor gebruik binnen omgevingen ‘die hoge beveiligingseisen stellen’. De Mifare-chip, die door de Duitse hackers is gekraakt, wordt volgens NXP niet gebruikt ‘in elektronische paspoorten, bank- of autobeveiligingssystemen. NXP ontraadt het gebruik van de Mifare-tag in dit soort omgevingen.’ Volgens NXP wordt de tag vooral gebruikt voor zaken zoals ‘kaartjescontrole’ en wordt de chip in die gevallen geïntegreerd binnen een meerlaags beveiligingssysteem.
Geheime sleutels
NXP bestrijdt daarnaast dat de twee Duitse hackers daarmee hebben aangetoond dat er een beveiligingsprobleem bestaat met deze tags. In een verklaring stelt NXP onder andere: "Het cryptografisch algoritme is voor een deel ontdekt, maar de onderzoekers hebben gefaald om de geheime sleutels van de chip te achterhalen. Het enkel openbaarmaken van zo’n algoritme is nog geen beveiligingsprobleem, omdat volgens goed cryptografisch gebruik de sterkte van een versleuteling bepaald wordt door de geheime sleutels en niet door het algoritme zelf."
Hackers Karsten Nohl en Henryk Plötz achterhaalden de werking van deze Mifare tag door deze in vijf lagen te snijden en onder een optische microscoop te fotograferen.
Welja, lekker het Volkskransje na-wauwelen … De hele presentatie staat hier:
http://events.ccc.de/congress/2007/Fahrplan/track/Hacking/2378.en.html
Als je een week de tijd neemt kun je een code kraken – en dat is voor de meeste mensen toch wel erg veel tijd om een enkele code te achterhalen. De auteurs zeggen niet dat de beveiliging gekraakt is, maar dat ze nu weten hoe het systeem werkt. Dat is niet hetzelfde.
Kartsen en Henryk geven zelf aan dat het systeem geschikt is voor kleine betalingen, maar niet voor de hoogwaardigste beveiliging die vereist is voor een paspoort of zelfs een bankkaart.
Een betere beveiliging kost meer geld en dat staat waarschijnlijk niet in verhouding tot de relatief geringe bedragen die je bij reizen gebruikt. No big deal. Het feit dat andere mensen in staat waren drukwerk te vervaardigen heeft de gewone buskaart ook nooit in de weg gestaan. Pas als veel mensen de sleutels eenvoudig en snel kunnen achterhalen is er reden tot paniek.
Tjonge, wat proberen we zo’n ov-kaart toch weer belangrijk te maken.
@ Miriam: Door de schaal van het project en het belang voor de samenleving vindt Computable de ov-chipkaart best wel belangrijk.
Over het nawauwelen van De Volkskrant:
zie https://www.computable.nl/nieuws.jsp?rubriek=250449&id=2274876 en https://www.computable.nl/nieuws.jsp?rubriek=250449&id=2270889 en vergelijk dat met http://www.volkskrant.nl/economie/article492709.ece.
De basis bij elk beveiligingssysteem is, dat dit moet toelaten dat de principes ervan openlijk bekend moeten kunnen zijn. In militaire termen heet zoiets dus “declassified” (Voor die tijd kan je eventueel iets geheim willen houden, nodig is dat niet. De echte kwetsbaarheden zitten zoals altijd in sleutelbeheer en de zwakste schakel de mens: denk aan die grootschalige VISA-card fraude in Frankrijk, omdat medewerkers het verder perfecte systeem misbruikten. Elke mogelijkheid tot inbreken moet worden bezien tegen de achtergrond van de waarde van het gestolene. Bij creditcards is die per definitie hoog, bij trein of buskaartjes v??l lager.
“Elke mogelijkheid tot inbreken moet worden bezien tegen de achtergrond van de waarde van het gestolene. Bij creditcards is die per definitie hoog, bij trein of buskaartjes veel lager. “.
Klopt – dit is een juiste afweging. Vergeet echter niet dat de waarde van een abonnement (die op dezelfde kaart wordt bijgeschreven) behoorlijk kan oplopen.
Ook het her-opladen van kaarten voor eenmalig gebruik kan een leuke handel worden en dan maken vele kleintjes wel grote bedragen.
@ miriam
De OV-kaart lijkt me een toepassing waarbij relatief veel mensen (de notoire zwartrijders) bereid zijn om $100 en een week te investeren in het maken van een eigen kaart.
Als dat echt kan, is dat een groot probleem voor de OV kaart.
@Maarten: Ja, nu is dat voor de strippenkaart/ov-jaarkaart nog $10 en een middagje werk …
Uiteindelijk is het hele gedoe ontstaan doordat men heeft gekozen voor goedkope, iets verouderde techniek. Dan kan je erop wachten dat er ‘gehackt’ wordt gemaakt van de OV-chipkaart!
Straks kun je met wat goedkope hardware thuis je OV-chipkaart gratis opladen! Geen kopie, maar gewoon je orginele kaart gebruiken en netjes door de poortjes heen … en geen problemen bij controle.
Ik zou nooit een koppeling maken met een bankrekeningnummer want met een Mifare-sniffer (met de juiste software) in je tas kun je straks elke OV-chipkaart bij je in de buurt lezen!