In een eerste onderzoeksrapport stelt TNO dat de beweringen van de Amerikaan Karsten Nohl en de Zwitser Henryk Plötz behoorlijk betrouwbaar zijn. Deze beveiligingsonderzoekers beweerden op een hackerscongres eind december in Berlijn het encryptiealgoritme van Mifare Classic rfid-chip van NXP gekraakt te hebben. Deze chip vormt de kern van de OV-chipkaart.
Overtuigend bewezen
Volgens TNO zullen de onderzoekers op korte termijn het volledige encryptiealgoritme van de Mifare Classic van NXP in handen hebben, zelfs al hebben ze tot nu toe slechts delen ervan gepresenteerd. Dat maakt dat de sleutels op deze NXP-chip inderdaad via een 'brute kracht'-methode (waarbij alle mogelijke sleutels worden uitgeprobeerd) kunnen worden ontdekt, mede wegens de relatief korte sleutellengte van 48 bits.
Volgens TNO hebben de onderzoekers echter weinig bewijs gegeven voor hun claim dat het algoritme cryptografisch zwak is, waardoor de sleutels ook via cryptanalyse achterhaald zouden kunnen worden. Daarentegen hebben de onderzoekers volgens TNO wel overtuigend bewezen dat de toevalsgetallen die de kaart genereert voorspeld kunnen worden.
Communicatie tussen pas en poortje
Dat deze ontdekkingen de Mifare Classic per definitie ongeschikt maken voor gebruik in het openbaar vervoer is volgens TNO echter te kort door de bocht. De aangetoonde zwakheden zouden volgens TNO theoretisch voldoende opgevangen kunnen worden door andere mechanismen, zoals bijvoorbeeld het weigeren van bepaalde kaarten op basis van fraudedetectie.
Of de aanvullende beveiligingsmechanismen die Translink Systems heeft ingebouwd in de communicatie tussen pas en poortje voldoende zijn wil TNO in vervolgonderzoek bekijken.
Vooralsnog geen frauderisico
Op dit moment bestaat er volgens TNO nog geen frauderisico, omdat de onderzoekers hun machine voor het kraken van sleutels via 'brute kracht' nog niet afgebouwd hebben. TNO schat dat er nog ongeveer een half jaar voorbij zal gaan voordat het zover is. Bovendien wordt de situatie pas echt gevaarlijk nadat de onderzoekers hun volledige conclusies gepubliceerd hebben.Translink gaf opdracht
TNO heeft dit spoedonderzoek uitgevoerd in opdracht van Trans Link Systems. TNO heeft in de afgelopen jaren in opdracht van Trans Link Systems al eerder analyses uitgevoerd van de technische beveiliging van het OV-chipkaartsysteem.| Trans Link Systems Trans Link Systems is opgericht door de vijf grootste OV-bedrijven om één elektronisch betaalsysteem in het Nederlandse openbaar vervoer te realiseren: de OV-chipkaart. |
Reacties
Wat een onzin conclusie zeg dat dit nog een half jaar gaat duren.
Als ik nu een programma'tje zou schrijven a la het Distributed Computing project dan is binnen een paar weken die sleutel gekraakt door het werk door tienduizenden computers tegelijk te laten doen. Naar mijn mening is die beveiliging dus *COMPLEET* onderuitgehaald.