Royal Holloway, University of London: Information Security Group - Smart Card Centre
Contra-expertise beoordeling van de veiligheidsanalyse van de Nederlandse OV-Cipkaart door TNO[1]
Inleiding
In februari 2008 heeft TNO een openbaar rapport gepubliceerd waarin zij haar veiligheidsanalyse van de Nederlandse OV-chipkaart heeft samengevat. De analyse door TNO werd uitgevoerd in opdracht van Translink Systems (TLS) om een technische presentatie op een onlangs gehouden conferentie van de Chaos Computer Club (CCC) te beoordelen. In deze presentatie werd gesteld dat de kaarttechnologie en het algoritme van Mifare Classic waren gekraakt en in feite ongeschikt waren om de beveiliging van het OV-chipkaartsysteem van TLS op te baseren. Dit soort beweringen is schadelijk voor het publieke vertrouwen en zou, indien hardgemaakt, vervoersbedrijven nopen tot aanzienlijke en kostbare correctieve maatregelen en mogelijk veel ergernis en ongemak onder reizigers veroorzaken. Daarom zijn de bevindingen, conclusies en aanbevelingen van het TNO-rapport uiterst gevoelig, niet alleen vanuit een zakelijk oogpunt, maar evenzeer met het oog op de doelstellingen van de overheid en voor de acceptatie van het systeem door het publiek. Om deze reden heeft het Nederlandse ministerie voor Verkeer en Waterstaat een onafhankelijke contra-expertise (CE) laten uitvoeren om het TNO-rapport te beoordelen. Daarbij is de keuze voor het contra-expertisebureau (CEB) gevallen op de Information Security Group (ISG) van de de Royal Holloway University of London. Het project stond onder leiding van het ISG Smart Card Centre (SCC). De keuze viel op het CEB vanwege zijn onafhankelijke status en de deskundigheid op het gebied van informatiebeveiliging en smart cards die het projectteam in huis heeft, evenals uitgebreide ervaring op het totaalgebied van beveiliging van vervoerssystemen. Het Expertise Centrum (HEC) was verantwoordelijk voor de algehele facilitering van de opdracht en trad op als interface tussen het ministerie en het CEB.
De contra-expertise en de toegepaste methodiek
Het CEB was verzocht om een aantal specifieke vragen in zijn beoordeling aan de orde te stellen, te weten de volgende:
- Is er bij het opzetten/uitvoeren van het TNO-onderzoek gebruikgemaakt van een geschikte methodiek?
- Is het TNO-rapport volledig?
- Zijn de bevindingen, conclusies en aanbevelingen goed gefundeerd, juist en eenduidig?
Met bijzondere aandacht werden de aanbevelingen in het TNO-rapport bestudeerd om te zien of deze doeltreffend, realistisch, uitvoerbaar, volledig en toekomstbestendig zijn. De vraag aan het CEB was expliciet om de eigen onafhankelijke en professionele zienswijze te formuleren ten aanzien van de bevindingen, conclusies en aanbevelingen in het rapport. In essentie bestond de voor de contra-expertise gehanteerde methodiek uit het volgende:
- Een eerste beoordeling van de documenten die bij de contra-expertise betrokken worden.
- Interviews met TLS en TNO ter verduidelijking van de inhoud van de documenten en voor het uitwisselen van zienswijzen en ervaringen met betrekking tot de situatie rond de OV-Chipkaart.
- Gedetailleerde beoordelingen, inclusief de cryptografische aspecten, aanvalscenario's en methodiek.
- Systematische toetsing van het TNO-rapport aan de eisen van het ministerie.
- Formulering en rapportage van de zienswijzen en aanbevelingen van het CEB.
Tot de bij de contra-expertise betrokken documenten behoort het volledige TNO-rapport nr. 34642 (alsmede het openbaar gemaakte uittreksel). Ook werden recente publicaties over methodes om de OV-Chipkaart te kraken,
- ↑ Dit document bevat de vertaling van het in het Engels gepubliceerde rapport Counter Expertise Review of the TNO Security Analysis of the Dutch OV-Chipkaart, uitgebracht door Royal Holloway University of London (RHUL) aan het Ministerie VenW. In deze vertaling is de inhoud en strekking van het oorspronkelijke rapport zo nauwkeurig mogelijk benaderd,zodat het Nederlandse parlement en publiek hiervan zonder taalbarrière kennis kunnen nemen. Om echter discussie over mogelijke interpretatie- en nuanceverschillen te voorkomen, blijft het originele Engelse eindrapport van de RHUL het enige met formele status. Hoewel aan de vertaling zowel inhoudelijk als tijdens de totstandkoming uiterste zorg is besteed, aanvaardt het ministerie geen aansprakelijkheid voor eventuele fouten en onvolkomenheden, noch voor de gevolgen hiervan.
