Of ik mee wil doen om te testen hoe eenvoudig het nu is om de OV-chipkaart te kraken en of Trans Link Systems (TLS), het bedrijf achter de OV-chipkaart, de waarheid spreekt of bluft. Tuurlijk wil ik dat!

Twee doelen

Inmiddels reis ik al een paar dagen ‘gratis en voor niks’. Het doel van dat project is tweeledig:

1: aantonen hoe eenvoudig het momenteel is om de OV-chipkaart te hacken, nu zelfs voor noobs.

2: testen of Trans Link Systems bluft als het zegt dat elke dag de database wordt gecontroleerd en gemanipuleerde kaarten worden geblokkeerd.

1. Ja, de OV-chipkaart hacken kon al. Maar met een nieuw tooltje, dat draait op Windows, compleet met eenvoudige user interface, wordt het echt een eitje. Die conclusie gaat rechtstreeks in tegen de positie die TLS tot nog toe krampachtig volhoudt: het is theoretisch en ingewikkeld. Niet dus.

Paar kliks en boem: saldo

De eerste keer lijkt het nog even moeilijk, het tooltje moet ruim een uur rekenen voordat mijn kaart gekraakt is. Maar daarna is het in een paar kliks gedaan. De volledige ‘datadump’ van de chip, transactie en saldo, wordt gekopieerd naar de pc. Stond er 50 euro op de kaart, dan staat er nu ook 50 euro op m’n pc.

Is na wat reizen het saldo bijna op? Geen probleem. Druk op ‘write’ en de dump wordt van de pc op de chipkaart gezet. Ka-tsjing! Er staat weer 50 euro op.

Op naar de bus, metro en trein. Spannend! Kan ik inchecken? Bliep. Geen probleem. Zou de conducteur de hack kunnen achterhalen? Bliep. Geen probleem.

Binnen 1 dag geblokkeerd? NOT

2. Maar, zo waarschuwt TLS al maanden lang: we houden je in de gaten. Elke nacht wordt de hele database met transacties van die dag gecontroleerd op ‘onregelmatigheden’. Worden die geconstateerd, dan wordt de kaart geblokkeerd. Toch? Niet dus.

Ook op dag twee, drie, vier en daarna kan er naar hartelust met dumps worden gespeeld en gereisd. Niks geen blokkade.

Het desperate antwoord van TLS is nu binnen: Het bedrijf heeft aangifte gedaan en “in het belang van het onderzoek hebben wij de kaarten niet geblokkeerd.”

Desperaat

Tja, nu worden we echt bang. Eerst falen en dan halsoverkop de logfiles induiken. Het zou TLS sieren als ze eens toegeven dat systeem structureel lek is en vaart maken met de nieuwe chipkaart. Oh, en ik moet nog van mijn advocaat zeggen: Ik zie een mogelijke rechtszaak met vertrouwen tegemoet ;-)