OV in Nederland

Nieuwe ov-chipkaart is bestand tegen fraude
Geplaatst op: donderdag 6 oktober 2011 12:07
Laatst bijgewerkt: donderdag 6 oktober 2011 12:08

AMERSFOORT - Trans Link Systems (TLS), het bedrijf achter de ov-chipkaart, heeft in stilte een nieuwe versie van de pas in gebruik genomen die bestand is tegen de meest gebruikte kraakmethoden.
Dat blijkt uit onderzoek van NU.nl, dat de vernieuwde chip ook in handen heeft gehad en testte. De nieuwe ov-chipkaart wordt sinds twee maanden al geleverd naast de oude chipkaarten, erkent TLS. Ook de oude kaart wordt nog verkocht tot de voorraad op is. Dat is waarschijnlijk voor het einde van het jaar.
De oude chip wordt vooral nu gebruikt voor kaarten op naam, omdat fraude daar sneller tot een persoon te herleiden is. De nieuwe chip wordt vooral bij anonieme kaarten gebruikt.
Lees verder

Maakt ook meteen duidelijk waarom een OV-chipkaart een vervaldatum heeft: Om de technologie stapsgewijs te kunnen vervangen :)

Nou, denk eerder dat het te maken heeft met het feit dat je na x jaar weer iemands identiteit moet controleren en de pasfoto enig zins up to date moet blijven. Anonieme kaarten zouden theoretisch lang mee kunnen gaan (maar die kaarten gaan eerder stuk denk ik). Het is daarbij dus handig dat je dan nieuwe kaarten kan invoeren ja. Het beperkt ook het aantal verschillende soorten kaarten (zowel zichtbaar fysiek als onzichtbaar in de chips) die er geldig zijn.

Maar enigzins een goeie zet van TLS, jammer dat ze nog altijd weinig transparant zijn er in.
Er zijn denk ik wel nog altijd aantal punten: de software op de kaarten wordt niet zo 1,2,3 vervangen. Een theoretisch nieuwe hack kunnen ze nieuwe software voor maken, maar dat kan waarschijnlijk alleen op nieuwe kaarten. De oude kaarten kunnen dan nog wel worden gehacked. Verder zal een controlemechanisme met de backoffice, zoals wordt genoemd in het artikel altijd achter lopen op de feiten en nooit 100% effectief te zijn (maar hoeveel % wel weet ik niet). De architectuur van het hele verhaal blijft ongewijzigd omdat er nog altijd veel vertrouwen op de kaart zit en de achterliggende databases erg asynchroon werken.

Of om het iets dichter bij je bed te houden, zoals Brenno de Winter het net zei:
"Je koopt tijd en niet meer dan dat"

Is dat niet gewoon de aard van het beestje? Kat en muisspelletjes blijf je houden.

De titel van het artikel is inderdaad fout. Het moet zijn "Nieuwe OV-chipkaart is vooralsnog bestand tegen fraude".

Ja, of "bestand tegen huidige fraude technieken".

Tuurlijk is kat/muis altijd van toepassing, maar als ze dat maar meenemen in beslissingen. Dat doen ze niet...

Leuk dat er nog wel gefraudeerd zal kunnen worden na een tijdje. Maar zorgt een systeem dat het extreem lastig maakt niet gewoon voor fors hogere kosten, een hogere storingsgevoeligheid en grotere problemen bij een storing? Ik vraag me af wat goedkoper is, een klein beetje fraude of zo'n systeem dat alles afvangt.

Een klein beetje fraude... Dat breidt zich uit als een olievlek.

Het gaat erom dat de drempel hoog genoeg is om "het grote volk" ervan te weerhouden om te frauderen. Als drie ICT-nerdjes het kunnen is dat geen probleem. Als het goed is wordt met de nieuwe chip een goede stap voorwaarts gezet.

Bee schreef:Maakt ook meteen duidelijk waarom een OV-chipkaart een vervaldatum heeft: Om de technologie stapsgewijs te kunnen vervangen :)

Daarom wordt zeker ook eerst de oude stapel opgemaakt. Blijkbaar is er dus nog een enorme voorraad chips die zo lek zijn als een mandje :neg:

Klaasje schreef:Leuk dat er nog wel gefraudeerd zal kunnen worden na een tijdje. Maar zorgt een systeem dat het extreem lastig maakt niet gewoon voor fors hogere kosten, een hogere storingsgevoeligheid en grotere problemen bij een storing? Ik vraag me af wat goedkoper is, een klein beetje fraude of zo'n systeem dat alles afvangt.

Hogere kosten? Misschien, de nieuwe kaarten zijn wat duurder, maar na een tijdje wordt zoiets vaak wat goedkoper door grotere afname en dergelijke. Een hogere storingsgevoeligheid is denk ik niet aan de orde, nog los van het feit dat het huidige systeem ook niet bepaald storingsvrij is.

Je kunt denk ik ook lastig van tevoren inschatten in hoeverre een bepaald lek wordt uitgebuit. Van de oude chipkaarten is al 3,5 jaar bekend dat ze gevoelig zijn voor fraude, maar pas in de afgelopen 12 maanden is daar op grote schaal misbruik van gemaakt. Aan de andere kant zit men voor nog minstens 5 jaar vast aan de oude, onveilige kaarten tenzij er bestaande kaarten voor de vervaldatum vervangen worden, en 5 jaar lang is 'een beetje fraude' misschien toch wel erg veel als je het bij elkaar optelt.

Deze chips worden wereldwijd in zo'n miljard kaarten gebruikt en ze zijn al heel goedkoop.

Ik heb het over de nieuwe kaarten en niet de bestaande, maar dan nog, een systeem waarbij de beveiliging voornamelijk van de kaarten afhangt kan natuurlijk nooit echt veilig zijn. Daarvoor zou er dus een systeemarchitectuur nodig zijn met meer controle op transactieniveau. Dat is sowieso niet haalbaar. Dat geef ik aan met mijn post.
Verder is de vraag of een betere chip (dan de nieuwe) of een ander systeem het geld waard zou zijn. (Daarmee reagerend op jou en Webguy over wat Brenno te melden had.)

Alles wat te maken is, is te kraken. Niemand van de gebruikers maakt zich druk wat betreft slinken en dat probleem is vele malen erger dan de chipkaart. Ook een bankpas is maar 5 jaar houdbaar maar daar hoor je niemand over terwijl de kosten veel hoger zijn...
Maar ja het is ov... En dus een item waar iedereen over wil zeilen, en hoe negatiever hoe leuker.

Klaasje schreef:Ik heb het over de nieuwe kaarten en niet de bestaande, maar dan nog, een systeem waarbij de beveiliging voornamelijk van de kaarten afhangt kan natuurlijk nooit echt veilig zijn. Daarvoor zou er dus een systeemarchitectuur nodig zijn met meer controle op transactieniveau.

Dit klopt gewoon niet.

huibf schreef:Alles wat te maken is, is te kraken.

Dat is toch nog geen reden om dan maar helemaal niet te beveiligen?

Geert schreef:

Bee schreef:Maakt ook meteen duidelijk waarom een OV-chipkaart een vervaldatum heeft: Om de technologie stapsgewijs te kunnen vervangen :)

Daarom wordt zeker ook eerst de oude stapel opgemaakt. Blijkbaar is er dus nog een enorme voorraad chips die zo lek zijn als een mandje :neg:

Er wordt wel gezegd dat deze oude chips grotendeels in persoonlijke kaarten verwerkt wordt. Fraude is daar volgens het bericht makkelijker te herleiden naar 1 persoon. Daar kan ik wel inkomen. Ik denk dat de meeste fraude sowieso wel met anonieme kaarten gepleegd worden en als deze nu al voorzien van de nieuwe chip, dan vind ik dat prima.

fogeltje schreef: Er wordt wel gezegd dat deze oude chips grotendeels in persoonlijke kaarten verwerkt wordt. Fraude is daar volgens het bericht makkelijker te herleiden naar 1 persoon.

Beetje een kleuterschool-redenering trouwens. Ze gaan er vanuit dat er met zo'n kaart gefraudeerd kan worden, maar ook dat de naam op de kaart WEL 100 % gegarandeerd van de frauderende persoon is :') Hoe dom ben je dan? :D

Fles schreef:

fogeltje schreef: Er wordt wel gezegd dat deze oude chips grotendeels in persoonlijke kaarten verwerkt wordt. Fraude is daar volgens het bericht makkelijker te herleiden naar 1 persoon.

Beetje een kleuterschool-redenering trouwens. Ze gaan er vanuit dat er met zo'n kaart gefraudeerd kan worden, maar ook dat de naam op de kaart WEL 100 % gegarandeerd van de frauderende persoon is :') Hoe dom ben je dan? :D

Dat zeggen ze niet. Verder is de eigenaar gewoon verantwoordelijk voor wat er met zijn kaart gebeurt. Als ik mijn kaart uitleen aan een vaag figuur, die er vervolgens mee fraudeert, dan sta ik niet te kijken als de politie straks bij mij aan de deur staat.

fogeltje schreef:

Fles schreef:

fogeltje schreef: Er wordt wel gezegd dat deze oude chips grotendeels in persoonlijke kaarten verwerkt wordt. Fraude is daar volgens het bericht makkelijker te herleiden naar 1 persoon.

Beetje een kleuterschool-redenering trouwens. Ze gaan er vanuit dat er met zo'n kaart gefraudeerd kan worden, maar ook dat de naam op de kaart WEL 100 % gegarandeerd van de frauderende persoon is :') Hoe dom ben je dan? :D

Dat zeggen ze niet. Verder is de eigenaar gewoon verantwoordelijk voor wat er met zijn kaart gebeurt. Als ik mijn kaart uitleen aan een vaag figuur, die er vervolgens mee fraudeert, dan sta ik niet te kijken als de politie straks bij mij aan de deur staat.

En terecht.

Nee, maar als je portemonnee gejat wordt door eoa vaag figuur wordt het al weer een ander verhaal misschien ;)

Maar als een "vaag figuur" met blonde haren en blauwe ogen reist met een persoonlijke OV chipkaart waar heel duidelijk een vent met bruine ogen en dito haar op te zien is, dan denk ik dat deze ook wel wat uit te leggen heeft..

deadlock schreef:

Klaasje schreef:Ik heb het over de nieuwe kaarten en niet de bestaande, maar dan nog, een systeem waarbij de beveiliging voornamelijk van de kaarten afhangt kan natuurlijk nooit echt veilig zijn. Daarvoor zou er dus een systeemarchitectuur nodig zijn met meer controle op transactieniveau.

Dit klopt gewoon niet.

Kun je ook aangeven wat er niet klopt, en welke argumentatie je daarvoor gebruikt?

Sowieso is er weinig persoonlijks aan een persoonlijke OV chipkaart behalve dat je pasfoto er opstaat. Ik kan zeggen dat ik Pietje puk heet en op hoofdstraat 1 woon, en dan wordt 'ie daarnaar toe gestuurd. Dat is een kraakpand en vervolgens vis ik de kaart uit de uitpuilende brievenbus. Boem, niet meer persoonlijk...

Je hebt je kaart toch besteld met iDeal?

Een papieren aanvraag formulier wordt sowieso afgekeurd als er geen originele pasfoto op zit.

Dus vertel maar.