TLS trekt vijf jaar uit voor vervanging Mifare-chip

[Geert]

TLS trekt vijf jaar uit voor vervanging Mifare-chip
Geplaatst op: dinsdag 1 maart 2011 00:23
Laatst bijgewerkt: dinsdag 1 maart 2011 00:24

De ov-bedrijven en TLS achten het 'zeer onwaarschijnlijk' dat fraude met de ov-chipkaart in de komende tijd een grote vlucht zal nemen. TLS wil dan ook een overgangsperiode van vijf jaar uittrekken voor het vervangen van de Mifare-chip.

Trans Link Systems, het bedrijf dat de ov-chipkaart beheert, stelt in een rapportage aan de minister over de fraudegevoeligheid van de ov-chipkaart dat het probleem 'beheersbaar' is. Momenteel zouden dagelijks enkele tientallen kaarten geblokkeerd worden waarvan het vermoeden bestaat dat ermee is gefraudeerd.

Desondanks geeft TLS toe dat het niet alle fraudegevallen kan detecteren. Dat geldt bijvoorbeeld voor de 'thuis inchecken'-methode. Het bedrijf blijft dan ook op de vlakte over de toekomstige ontwikkelingen

De analyse van TLS was vrijdag voor minister Schultz van Haegen van Infrastructuur en Milieu voldoende om de strippenkaart in Zuid-Holland definitief te vervangen door de ov-chipkaart. De NS hoopt eind 2012 de verkoop van papieren kaartjes te kunnen staken.
Lees verder

[Geert]

En hier de rapportage van TLS: http://www.rijksoverheid.nl/ministeries ... 1-pdf.html

Dingen die mij opvielen:
- De onderbouwing van sommige zaken is niet heel erg sterk. Met name het stuk waarin men schat dat de fraudebereidheid slechts 2% a 3% bedraagt vraag ik me af waar deze aanname op gebaseerd is. Ook zit er een fout in de aanname dat alleen reizen met een waarde hoger dan 7,50 euro interessant zou zijn voor fraudeurs (omdat anders de vervangkosten van een nieuwe anonieme chipkaart hoger zijn dan het financiele gewin): dit argument zou opgaan als de kaart onmiddellijk geblokkeerd wordt na een frauduleuze reis, maar de kaart blijft nog enige tijd langer werken. De aanschafkosten van een anonieme chipkaart kun je dan verdelen over meerdere reizen waardoor de ondergrens lager wordt -> ergo veel meer reizen komen in aanmerking voor fraude als je gaat voor financieel gewin.

- Anonieme chipkaarten worden steeds minder anoniem: je moet je nu verplicht legitimeren als je je (anonieme) chipkaart beëindigt en je kunt aan de balie niet meer dan 30 euro terugvragen. Meer saldo terugvragen moet via de klantenservice (backoffice) van TLS.

- TLS schat in dat het 'thuis-inchecken' scenario meevalt: ca. 750 fraudegevallen per maand. Dit terwijl men zelf aangeeft dat het niet mogelijk is om deze vorm van fraude te detecteren (niet door controleurs, niet in de backoffice). Waar is deze aanname op gebaseerd? Verder vertrouwt men erop dat de software nog niet beschikbaar is in grote kring, maar dat lijkt me niet een erg sterke garantie dat dit scenario niet op grote schaal misbruikt kan/zal worden.

- Er zijn plannen om de controles in de trein ook te voorzien van een controletransactie (een virtueel stempeltje, zeg maar). Men geeft zelf echter ook al aan dat een hoge controlekans hiervoor essentieel is, anders kun je nog relatief lang gebruik maken van een frauduleuze kaart. Immers, blokkeren van een chipkaart kan pas nadat is vastgesteld dat er een check-in op de kaart staat die in het echt niet gedaan is, en dat wordt niet realtime gedetecteerd. Een frauduleuze chipkaart wordt dan pas geblokkeerd nadat er voor het eerst een controletransactie is gedaan, dus als de controlekans niet heel hoog is kun je voor 7,50 euro nog aardig wat treinritjes maken.
- De controletransactie is nog niet ingevoerd, dat gaat nog zeker maanden kosten.

- Grootschalige fraude (bijvoorbeeld door verkoop van vervalste chipkaarten) kan relatief eenvoudig opgespoord worden. De hack die het lastigst te voorkomen is (check-infraude) is lastig om op grote schaal winst mee te maken. (Over kleinschaliger fraude zwijgt men wijselijk).

- Men heeft geen haast met het invoeren van de veiligere SmartMX-chip. Volgens TLS is het traject al sinds 2009 in gang gezet en wordt eind dit jaar de eerste proef met reizigers gedaan, maar dat houdt dus in dat we minimaal de komende vijf jaar nog een kraakbare kaart hebben: chipkaarten zijn immers 5 jaar geldig.

- Verder is het rapport erg bevooroordeeld, maar dat valt natuurlijk te verwachten. :)

[Chauf21]

Ik ben het met je eens dat bepaalde argumenten niet heel sterk zijn, maar wat wil je er nou precies mee zeggen?
De huidige bekende fraudetechnieken (thuis inchecken en saldo ophogen/producten laden) zijn handelingen die reeds worden ontdekt of binnen een aantal maanden/binnen een jaar kunnen worden opgespoord. Uiteraard kunnen er dan weer nieuwe mankementen ontdekt worden, maar dat kat-en-muisspel zie je overal in allerlei vormen, en is niet alleen beperkt tot de ov-chipkaart. Die constatering is natuurlijk geen reden om achterover te gaan leunen, maar een wereld waarin totaal niets wordt gefraudeerd en alles 100% veilig is, bestaat nou eenmaal niet.

Daarnaast is de situatie bij de ov-chipkaart dat (huidige) fraudegevallen geen financieel nadeel voor de reiziger vormen. De enige partijen die last hebben van de fraude zijn de vervoerders. Eigenlijk iets waar je je als particulier niet zo druk om hoeft te maken. De bedragen die worden genoemd (op basis van die soms wankelende argumenten) zijn niet schokkend hoog ofzo. Met strippenkaarten en OV-passen wordt nu ook gefraudeerd, daar hoor je vrijwel niemand over. Daarnaast is het aantal fraudegevallen (op basis van de getoonde grafiekjes) laag. Hooguit zo'n 60 kaarten per dag (op 1 miljoen reizigers) en dat aantal daalt naarmate de aandacht ervoor weer verslapt. Het percentage (slecht) frauderende kaarthouders is dus marginaal (~0,00006%).

Met dit verhaal wil ik niet zeggen dat de ov-chipkaart een perfect product is en dat iedereen moet stoppen met zeiken over die kaart, maar ik probeer wel aan te geven dat de ophef over en aandacht voor de fraude in verhouding moet staat tot probleem dat een individu zal ondervinden. Natuurlijk is het belangrijk dat de beveiliging etc. van de kaart in orde is, maar er zijn zat andere dingen van de ov-chipkaart die veel meer aandacht verdienen en veel meer effect kunnen hebben.

[Vinny]

Daarnaast worden pinpassen ook gewoon geskimd, en dat is veel vervelender voor de klant. Overigens is het ook erg makkelijk om op deze manier fraude te plegen, een gemiddelde Roemeense schooljongen kan het...

[Suus]

Pinpassen worden nog hoogstens 10 maanden geskimmed, heb toevallig op mijn werk vandaag een Het Nieuwe Pinnen Promotiepakket besteld, want voor 1 januari 2012 moet alles om zijn.

[Vinny]

Zo. Dan kun je ook eindelijk met je Nederlandse pinpas in Belgie pinnen.

Oh nee. Dat is weer te klantvriendelijk dus dat zal wel niet lukken

[find_your_spot]

Zo. Dan kun je ook eindelijk met je Nederlandse pinpas in Belgie pinnen.

Oh nee. Dat is weer te klantvriendelijk dus dat zal wel niet lukken

Dat kan toch al jaaaaren? Ik heb zovaak in Belgie gepint hoor. :Y

[Daniel]

Hmm, ik heb 'n paar jaar geleden nog tevergeefs gezocht naar een pinautomaat waar m'n pas werkte rond Gent-Sint-Pieters. In Antwerpen lukte het toen overigens weer wel.

[Suus]

Er zijn verschillende soorten "communicatiesystemen" tussen de gegevens op de bankpas en de computer. In Nederland zijn bijna alle passen voorzien van Maestro (uitzondering wordt de SNS-Bank, die gaan voor V-Pay). In België hebben ze Bancontact, en die zijn niet echt compatibel.

[Daniel]

Dan nog zou het toch moeten werken bij een Belgische automaat die notabene voorzien is van een Maestro-logo?

[Suus]

Dan zou hij het moeten doen, maar de meeste automaten hebben het dus niet.

Bij de ING Bank in Charleroi hadden ze trouwens ook heel vreemde automaten waarmee je wel geld kon ophalen, maar waarmee geen geld uit de automaat kwam. Ja eh :')

[Daantje]

Over het algemeen kan je in België met een Nederlandse pinpas wel geld halen uit een geldautomaat buiten bij een bank maar niet bij automaten binnen in een bank. In de tijd dat ik in Leuven woonde waren er daar in de stad ook maar drie of vier automaten waar ik met mijn Nederlandse pinpas geld kon halen.