Nijmeegse security-onderzoekers mogen artikel na twee jaar eindelijk publiceren

De Radboud Universiteit heeft na twee jaar onderhandelen alsnog toestemming gekregen van de Volkswagen-groep om een paper te publiceren over beveiligingsproblemen met de Megamos-startonderbreker. In 2013 verbood een Britse rechter de publicatie op verzoek van de automaker, maar na het schrappen van één zin is Volkswagen alsnog akkoord gegaan. Het aangepaste artikel is gepubliceerd als bijlage bij de conferentie-papers van Usenix 2013, waar een van de onderzoekers het paper oorspronkelijk zou presenteren.

De Megamos-startonderbreker is een veelgebruikte rfid-oplossing die moet voorkomen dat een auto kan wegrijden zonder de originele sleutel; pas wanneer het een cryptografische authenticatie uitvoert op de chip in de sleutel of key fob, gaat de motor aan. Radboud-onderzoekers Roel Verdult, Flavio Garcia en Baris Ege vonden echter verschillende zwakheden in de bedrijfseigen cryptografische algoritmes van de chip, en bedachten manieren om deze uit te buiten. De onderzoekers meldden de problemen aanvankelijk bij de fabrikant, het Zwitserse EM Microelectronic, met het voornemen om ze negen maanden later op de Usenix-conferentie wereldkundig te maken.

Volkswagen, een van EM’s klanten, wilde dat echter voorkomen uit angst dat autodieven de methode zouden uitbuiten. Aanvankelijk vroeg het de onderzoekers om een afgezwakte versie te publiceren, maar zij weigerden dat, waarop Volkswagen het via de rechter probeerde. Daarvoor stapte het bedrijf naar de Engelse rechter. In een eerdere, vergelijkbare situatie – die van de ov-chipkaart – had de Nederlandse rechter namelijk in het voordeel van de onderzoekers geoordeeld. Volgens de richtlijnen van de Nederlandse overheid is een responsible disclosure-periode van zes maanden afdoende. Omdat Garcia ondertussen echter was overgestapt naar de universiteit van Birmingham, konden de Duitsers hun zaak in Engeland aanspannen. Daar koos de rechter wel de kant van de aanklager, waardoor de onderzoekers afzagen van hun publicatie en een sterk afgezwakte presentatie moesten geven.