Big Brother in het OV

Informatietechnologie

Door: Arno Schrauwers

Technisch is er geen noodzaak voor een persoonsgebonden chipkaartTECHNO! nr. 3/2008

Bij alle commotie rond de beveiliging van de nieuwe OV-chipkaart is een vraag buiten beschouwing gebleven: waarom moeten vervoerbedrijven het reisgedrag van de kaarthouder kunnen achterhalen? 'Er is geen enkele reden te bedenken waarom die kaart, ook voor allerlei abonnementsvormen, niet anoniem kan zijn.'

De toenmalige minister van Verkeer en Waterstaat, Karla Peijs, gaf in juni 2006 het startsein voor de invoering van de elektronische strippenkaart. Die OV-chipkaart zou vanaf 1 januari 2009 in het hele land gaan gelden, stelde de bewindsvrouw. Inmiddels is duidelijk dat Peijs wat te optimistisch was. Voor een deel is dat te wijten aan problemen met de apparatuur, maar het bericht dat de kaartcode was gekraakt door twee hackers van de Duitse Chaos Computer Club en daarna door de onderzoeksgroep Digital Security van de Radboud Universiteit Nijmegen, zette het hele project voor velen op losse schroeven. Trans Link Systems (TLS), het Amersfoortse bedrijf dat namens de vervoerbedrijven de kaart ontwikkelt, kreeg de wind van voren: de gebruikte Mifare-chip zou veel te simpel zijn te kraken.

Deze fraudegevoeligheid is intussen bevestigd door een onderzoek van TNO en van de Royal Holloway University in Londen.. In alle commotie die volgde op de gehackte chip, werd nagenoeg geheel voorbijgegaan aan het feit dat de privacygevoeligheid van de OV-chipkaart het echte hachelijke punt is. Beveiliging van zo'n kaart is immers nauwelijks een issue als die slechts een beperkte som geld vertegenwoordigt. Niemand heeft zich ooit druk gemaakt om de beveiliging van de strippenkaart, terwijl die toch ook geld vertegenwoordigt en tamelijk simpel is na te maken. Wat dat betreft heeft het boevenvolk het met de chipkaart een stuk lastiger. Het kopiëren van een OV-chipkaart is eigenlijk alleen interessant als de pas is gekoppeld aan een automatische incasso. De vervoerder incasseert dan na elk gebruik de gemaakte reiskosten bij de kaarthouder; kassa voor de hacker dus.

Lees verder in TECHNO! nummer 3 - mei / juni 2008