NXP Semiconductors, de onafhankelijke halfgeleideronderneming die is opgericht door Philips, wil hiermee reageren op berichten naar aanleiding van een onlangs gehouden presentatie door een onderzoeksgroep op het 24e congres van de Chaos Computer Club in Berlijn. Daar werd beweerd dat er problemen zijn met de veiligheid in één van NXP’s chips, die voornamelijk worden gebruikt voor contactloze tickettoepassingen.
NXP wil benadrukken dat de beweringen slechts betrekking hebben op het verkrijgen van een déél van het cryptografische algoritme. Dit breekt dan ook niet de beveiliging van de chip. De beveiliging van de chip is gebaseerd op het geheim zijn van de sleutel. Ook als het complete algoritme bekend zou zijn, maar zonder de geheime sleutel, kan dit worden vergeleken met het weten hoe een combinatieslot van een kluis werkt zonder de combinatie te kennen.
Bovendien is de versleuteling door de chip in een systeem maar één onderdeel van het totale beveiligingssysteem, dat uit meerdere lagen bestaat. Ieder van deze lagen op zichzelf levert een bijdrage aan de complete beveiliging van het systeem. In de praktijk zijn systemen met meerdere lagen in de beveiliging doorgaans in staat om kaarten waarmee is geknoeid op te sporen en binnen korte tijd de juiste maatregelen te treffen. Ook al zijn er problemen met één laag, dan nog verhinderen de andere lagen het doorbreken van de beveiliging van het systeem.
NXP wil er verder op wijzen dat het werk om een deel van het cryptografische algoritme te achterhalen is verricht door een zeer deskundige onderzoeksgroep, die daar een aanzienlijke tijd mee bezig is geweest. Naar verluidt hebben deze inspanningen geleid tot het achterhalen van een deel van het algoritme. Een ander element van de beveiliging van de chip – de sleutels – is niet achterhaald. Bovendien is het van belang te bedenken dat die sleutels niet voor alle kaarten identiek zijn.
De chip in kwestie behoort tot een familie van chips voor contactloze kaarten die gebruikt worden in diverse toepassingen. De specifieke chip wordt niet gebruikt voor toepassingen waar een hoge beveiliging is vereist zoals in ePassports, traditionele banktoepassingen of de beveiliging van auto’s.
"Natuurlijk nemen we iedere kwestie rondom beveiliging zeer serieus", aldus Paul de Bot, vice-president Strategy & Business Development van de Business Line Identification bij NXP. "We begrijpen dat dergelijke beschuldigingen bezorgdheid veroorzaken, maar op basis van onze huidige informatie is dat ongerechtvaardigd. We zijn uiteraard in detail de gedane beweringen aan het onderzoeken. Als onderdeel daarvan hebben we de onderzoekers uitgenodigd voor een ontmoeting om een open dialoog aan te gaan."
"Bij het beoordelen van de veiligheid van systemen is het essentieel het totale systeem te beschouwen", zegt Prof. Dr. Ir. Bart Preneel van de Katholieke Universiteit Leuven, één van Europa’s meest vooraanstaande cryptografen. "De juiste veiligheidsmaatregelen in het totale systeem kunnen zeker stellen dat de veiligheid van dat systeem onaangetast blijft, zelfs als een component daarvan verzwakt zou zijn".
