Chip zonder kop

RFID, NFC en Mifare; het grootste deel van de Nederlandse bevolking zal deze termen onbekend in de oren klinken. Toch domineerden ze de afgelopen weken het nieuws: na jarenlang modderen ging de beerput rond de ov-chipkaart open. En er komt nogal een lucht van af, als we de razende reporters mogen geloven. De kaart is onbetrouwbaar, hackbaar en scheutig met privacygegevens. Staatssecretaris Tineke Huizinga probeert het vege lijf te redden door binnen anderhalve maand met maatregelen te komen.

De ellende begon eind december. Onderzoekers c.q. hackers Karsten Nohl en Henryk Plötz vertelden op een conferentie hoe ze de beveiliging van de Mifare Classic-chip hadden ge-reverse engineered. Fabrikant Philips en later NXP hielden dit algoritme strikt geheim. ’Deze chipkaarttechnologie is weg, stuk, niet meer te gebruiken‘, riep Rop Gongrijp van XS4all-faam en de actiegroep ’Wij vertrouwen stemcomputers niet‘. Een week later liet de Nijmeegse informaticastudent Roel Verdult op nationale tv zien dat hij het wegwerp-ov-chipkaartchipje kon kopiëren naar zijn laptop om vervolgens de communicatie met de toegangspoortjes te faken. Daarmee kan hij onbeperkt gratis reizen. Vervolgens bleek ook nog eens dat het Amsterdamse gemeentelijk vervoerbedrijf (GVB) de privacy van de reizigers schendt.

In al het mediageweld is het lastig om te volgen wat er nu echt aan de hand is. Jammer, want het is best een interessant onderwerp. Daags nadat De Volkskrant de knuppel het hoenderhok in slingerde, drukte de krant een lachwekkend verslag af van Nohls en Plötz‘ presentatie. Daarin lazen we dat NXP geblunderd heeft: ’Op de chip passen 10 duizend minicircuitjes. Fabrikant NXP gebruikte er echter maar 70‘. Bovendien ’bevat de chip maar 16 bits.‘ En de opmerking van Nohl ’to migrate if you depend on the security of this chip‘ werd vrolijk vertaald met de suggestie om naar het buitenland te verhuizen.