 |
| Sandro Etalle |
`Die twee Duitse hackers hebben vier dingen ontdekt', begint Etalle zijn uitleg. `Ten eerste hebben ze het encriptie-algoritme gevonden. Dat is als het ware een mengeling van operaties die de gegevens op de kaart versleutelt met behulp van een geheime sleutel. Dit wil echter nog absoluut niet zeggen dat ze die sleutel hebben gekraakt. Uit een goed algoritme zou je geen sleutel moeten kunnen afleiden. Eigenlijk zou elk encriptie-algoritme openbaar moeten zijn, vind ik. Onderzoekers kunnen het dan testen op de sterke en zwakke punten én je voorkomt dit soort publiciteit als het mensen gelukt is het algoritme te achterhalen. Overigens zeggen de Duitse hackers dat dit algoritme te zwak is, maar dat hebben ze niet bewezen.
`De hackers stellen voorts dat de lengte van de sleutel te kort is. Die bestaat uit 48 bits en ik ben het er mee eens dat dat wat aan de magere kant is', vervolgt Etalle zijn betoog. `Dat betekent namelijk dat er 248 mogelijke sleutels zijn. Met computerapparatuur in een heel groot netwerk zou dan de sleutel te berekenen zijn. Ik denk dat 96 bits een veiligere lengte zou zijn geweest.'
Dat er voor een korte sleutellengte is gekozen, heeft volgens Etalle puur met kostenoverwegingen te maken. `Je kan zo van de een op de andere dag het aantal bits verdubbelen, maar dan wordt de kaart ook veel duurder.' Om dezelfde reden is de hoogleraar security niet verbaasd dat de Duitsers aantoonden dat de randomgenerator niet naar behoren werkte. `Dat had inderdaad beter gemoeten, maar het is een heel goedkope kaart en die kan niet zulke ingewikkelde dingen leveren.' De randomgenerator kan bijvoorbeeld gebruikt worden voor de communicatie tussen chip en toegangspoort, aldus Etalle. `Als die generator dan niet goed werkt, kun je vrij eenvoudig een fakepoort bouwen die zich voordoet als een echte', speculeert hij. `Maar, er bestaat ook een kans dat die randomgenerator helemaal geen functie heeft in het OV-chipsysteem.'
Datzelfde geldt voor de link tussen een zogenaamde unique identifier van de kaart en de sleutel van de chip. `Het is heel knap dat de hackers die code hebben ontdekt, maar ook dit heeft misschien geen belangrijke functie. Met de verkregen informatie zouden ze weliswaar misschien een nepkaart kunnen maken, maar dan nog is het niet mogelijk om er tegoed op te zetten. Opladen is een grote stap verder, dan moet je nog andere sleutels achterhalen.'
TNO gaat nader onderzoek doen naar de veiligheid van de chip, en dat lijkt Etalle een goed idee. `Ik zeg niet dat er niets aan de hand is, maar je kan volgens mij niet zeggen dat de pas gekraakt is. Immers er is nog niet vastgesteld dat je met deze gegevens ook misbruik kan maken van de kaart. Ik vermoed dat de leverancier van de chip, NXP, de zwakheden zal ondervangen, bijvoorbeeld door de sleutel te verlengen naar 96 bits.'
Toch, helemaal veilig zal een chipkaart nooit zijn. Het zal altijd mogelijk blijven de pas echt te kraken, denkt Etalle. `Volledige security bestaat niet, hoogstens bij het Pentagon. We willen ook geen honderd procent veiligheid, want dan wordt zo'n kaart direct stukken duurder. Een chip is altijd een compromis tussen veiligheid, economische overwegingen en gebruiksgemak. Daar moet je de goede balans in vinden. Er zijn ook mensen die creditcardfraude plegen, maar wij betalen toch nog steeds met de creditcard. En als alleen een paar Duitse hackers gratis met de bus kunnen, is er toch nog niks aan de hand? Als maar niet de hele wereld gratis de bus in stapt.'
Hacker van beroep
`Alles is te kraken, soms duurt het alleen een tijdje. Nee, ik ben dus niet verbaasd dat het gelukt is de OV-chipkaart te hacken', reageert UT-student Frank van Vliet (25). Hij doet de master computer science en is hacker van beroep. Vanuit zijn kamer werkt hij parttime voor het Haagse bedrijf Pine Digital Security dat op verzoek websites van grote bedrijven hackt om te kijken wat er schort aan de beveiliging.
 |
| Frank van Vliet |
`Die Duitse hackers hebben er maanden over gedaan om die chip te kraken. Dat is echt niet in een middagje gebeurd', vertelt Frank van Vliet. Websites zijn vaak een stuk eenvoudiger te kraken, weet hij. `Dat is ook logisch. Met die chip zijn echte specialisten bezig geweest, maar bij een website wordt gauw over de beveiliging heen gekeken.'
Bij Van Vliet begon het hacken als hobby, zo eind jaren negentig. Dan hackte hij de website van een bedrijf en stuurde vervolgens een e-mail met wat hij had gedaan en hoe ze dat op zouden kunnen lossen. `Toen was het nog niet zo erg als je wat hackte, maar nu is het strafbaar, ook als je geen kwaad in de zin hebt.'
Bij Pine Digital Security krijgt hij verzoeken van bedrijven om hun website te controleren. `Dan heb ik bijvoorbeeld één of twee weken om de penetratietest uit te voeren, proberen de site binnen te komen. Ik loop een checklist langs met dingen die niet goed beveiligd kunnen zijn. Als ik er niet in kom, weet het bedrijf dat de beveiliging zo sterk is dat een gemotiveerde hacker er flink moeite mee heeft om de boel te kraken.'
Van Vliet noemt hacken vooral een `creatief proces'. Hij bekijkt eerst op een website welke software daar allemaal op draait. `Als je bijvoorbeeld een webshop hebt, onderzoek je hoe de website communiceert met de achterliggende database. Dat gebeurt met allerlei enen en nullen. Vervolgens is het de truc om te proberen je eigen enen en nullen toe te voegen aan die communicatie zodat je bij het systeem in kan breken en bijvoorbeeld openstaande betalingen kan verwijderen.'
Bij Pine Digital Security werkt Van Vliet samen met vijftien collega's. Volgens hem begint het net een beetje op te komen dat grote bedrijven hackers inschakelen om hun website open te breken. Van Vliet hoeft daarvoor niet naar zijn werkgever in Den Haag. `Hacken is geen kantoorbaan. Dat doe je gewoon achter je eigen laptop op het tijdstip dat het jou uitkomt.'
Dagkaart gekopieerd
Een Nijmeegse student heeft deze week een dagkaart van het OV-chipsysteem gekraakt. Met een apparaat ter grootte van een iPod kon hij een kaartje voor in de Rotterdamse metro kopiëren en er vervolgens onbeperkt mee reizen. Deze dagkaarten hebben qua technologie niets gemeen met de chip uit de beter beveiligde abonnementskaart, waarvan de twee Duitse hackers het algoritme hebben blootgelegd. Ondertussen ligt de OV-chipkaart zwaar onder vuur en diverse politici willen afzien van de invoering ervan. Op dit moment vinden in Rotterdam en Amsterdam proefprojecten plaats met de OV-chipkaart. In 2009 zou de chipkaart de strippenkaart moeten vervangen.
