Als Webwereld op 2 januari verslaat hoe Duitse onderzoekers de Mifare Classic-chip wisten te ontmantelen en daarmee de versleuteling konden achterhalen, was nog niet duidelijk welke beerput werd opgetrokken.

De Duitse onderzoekers toonden in hun presentatie "Little Security, Despite Obscurity" dat het belangrijkste beveiligingsmechanisme van de RFID-chip de geheimhouding was. De Mifare Classic-chip van de firma NXP wankelde.

Toegangspassen

De RFID chip is al jaren immens populair, overal ter wereld, maar vooral in West-Europa. Inmiddels zijn er waarschijnlijk bijna twee miljard operationeel. Ze worden ingezet voor toegangssystemen voor bedrijven en overheden. Wat het gevolg is demonstreren onderzoekers van de Radboud Universiteit in Nijmegen korte tijd later door deuren te openen die eigenlijk dicht horen te blijven.

De AIVD onderzocht de zaak en noemde het lek een onderwerp van nationale veiligheid. Minister Guusje ter Horst reageerde snel door extra beveiliging bij Ministeries neer te zetten en te zoeken voor een alternatief voor de Rijkspas. Voor de nieuwe Defensiepas was het inmiddels te laat: De oude was niet meer leverbaar en een nieuwe moest snel worden geïntroduceerd.

OV-chipkaart kan door

Ook voor betaalsystemen is de chip erg populair. Zo kunnen reizigers de RFID technologie gebruiken voor openbaar vervoer in London, Boston en Noord Engeland. In het laatste geval accepteren zelfs winkels de kaart. In Nederland is de technologie onderdeel van in het OV-chipkaart-project.

Het nieuws dat de chip gekraakt is, slaat dan ook in als een bom. TNO doet onderzoek in opdracht van Trans Link Systems (TLS), de gegevensverwerker achter de kaart. Na bestudering van de Duitse presentatie en literatuurstudie komt er een rapport dat adviseert om op termijn te migreren. Een gedeelte blijft geheim, maar in het openbare deel wordt de conclusie getrokken dat de chip zeker nog wel twee jaar mee kan voordat er misbruik zal optreden. Invoering kan doorgaan.

Contra-expertise

Maar staatssecretaris Huizinga van Verkeer en Waterstaat vraagt een contra-expertise aan bij het Engelse Royal Holloway University of London. De Britse onderzoekers concluderen dat er meteen actie moet worden genomen en dat de chip uitgefaseerd moet worden. De methodiek van TNO mag dan deugen, toch hebben de onderzoekers wel de nodige kritiek op het eerdere onderzoek. Ook Het Expertise Centrum, dat het project namens het Ministerie leidt, toont zich kritisch. Zij wagen zich niet aan een conclusie, omdat TLS een deel van het onderzoek geheim houdt.

Dat laatste blijkt uit documenten die Webwereld en Dagblad Trouw verkregen met een beroep op de Wet Openbaarheid van Bestuur. Daaruit werd ook duidelijk dat de onderzoekers zich ernstig zorgen maakten en conclusies aanpasten.

Zo schrapten zij uit angst voor misbruik een passage over het risico op Denial-of-Service-aanvallen uit versie 1.0 van het document. De nieuwe versie '1.00' bevatte ook niet meer de tekst dat een kleurenprinter voor pasjes tegen weinig kosten beschikbaar zijn.

Politiek steekspel

Ondertussen is de politiek de problemen met de kaart behoorlijk beu. Er ontstaat onvrede in de Tweede Kamer over het niet daadkrachtig optreden van staatssecretaris Huizinga. Uiteindelijk is 16 april de maat vol als Webwereld onthult dat de bewindvoerdster wel degelijk machtsmiddelen heeft om in te grijpen.

Er motie van wantrouwen volgt, waarin de afkeuring voor het hele beleid wordt uitgesproken. Huizinga overleeft die maar moet een pijnlijke nederlaag incasseren, omdat het CDA eist van iedere stap op de hoogte te blijven en strakker de vinger aan de pols te houden.

Overstappen

De staatssecretaris krijgt nog veel voor haar kiezen. Zo blijft ondanks een rapport onduidelijk hoeveel extra geld er in het project van drie miljard euro zal moeten en wie dat mag betalen. Ook komt ze in aanvaring met de belangenorganisaties die zich boos maken over retourtjes in de trein die niet meer kunnen, blinden die in de knel dreigen te komen en algemene voorwaarden die klantonvriendelijk zijn.

Maar ondanks de weerstand krijgt Rotterdam de toestemming op per 29 januari 2009 over te stappen op de chipkaart. Onduidelijk blijft hoe het met de veiligheid is gesteld, omdat het fraudebeheersingsplan door de RET ondanks andere beloftes angstvallig voor Ministerie en media verborgen blijft. Dit ondanks het feit dat er in de hackersscene hard wordt gewerkt aan allerhande demonstraties.

Ook is het onduidelijk wanneer er nou precies een migratie naar een minder kwetsbare chip wordt gemaakt. Het migratieplan was eerst een harde eis voor een overstap op de chikaart, maar mag nu medio 2009 worden opgeleverd.

Naast al die problemen botert het ook niet met de privacy. De vervoersbedrijven mogen na een deal met het College Bescherming Persoonsgegevens inzage in de reisbewegingen van de klanten om zo de files te bestrijden. Maar TLS wil de informatie zeven jaar bewaren uit fiscale overweging, waarbij diezelfde fiscus de noodzaak daartoe juist ontkent. Wie in de data mag grasduinen blijft vaag.

Juridisch geharrewar

Maar de problemen met de OV-chipkaart en de deurpasjes gaat verder dan techniek en politiek alleen. De onderzoekers van de Radboud Universiteit worden voor de rechter gedaagd in een poging het onderzoek geheim te houden. De rechter gaat hier niet in mee en geeft NXP op alle punten ongelijk. Publicatie volgt uiteindelijk en al snel volgt er een proof-of-concept op internet op basis van het wetenschappelijke artikel.

Ook in Amerika worden beveiligingsonderzoekers de mond gesnoerd om een presentatie op de hackersconferentie Defcon te geven. Zij worden aangeklaagd en er volgt een tijdelijk verbod om te spreken over het kraken van vervoerskaarten. Het vervoersbedrijf uit Boston brengt vertrouwelijke documenten in, waardoor de lekken rond de chipkaart en magneetstripkaartjes alsnog uitlekken.

Obscuur beleid

En het einde van de OV-chipperikelen is nog lang niet in zicht. Webwereld stuit keer op keer op dichte deuren en achtergehouden documenten, ondanks het publieke karakter van het OV-chipproject en vooral het beleid dat er aan ten grondslag ligt.

Het aantal verzoeken om openheid, met beroep op de openbaarheid van bestuur, zijn niet meer op één hand te tellen. In één geval dreigt de gang naar de rechter, omdat OV-ambassadeur Jeltje van Nieuwenhoven claimt geen beleidsorgaan te zijn, ondanks haar geformuleerde beleidsadviezen rondom privacy van het systeem.

In 2009 wordt de OV-chipkaart, met de geplaagde Mifare Classic-chip, gefaseerd uitgerold, ondanks veel twijfels en nog openstaande vragen.