OV Chipkaart

[Freee!!]

Pinobigbird schreef op dinsdag 25 januari 2011 @ 21:42:
[...]

Ze hadden 'm toch gepakt op doordat hij steeds dezelfde trajecte op dezelfde tijdstippen reisde?

Kan nog behoorlijk lastig zijn midden in de spits.

[Freee!!]

LauPro schreef op dinsdag 25 januari 2011 @ 21:43:
Is dit ook mogelijk met anonieme kaarten?

Natuurlijk, kan met elke kaart die je met die apparatuur en software kan beschrijven.

Want dan kan je altijd nog stellen dat je de kaart gevonden hebt, je bent behoorlijk stom als je dit met een abonnementkaart gaat doen, direct traceerbaar naar adres...

Dat zou inderdaad behoorlijk stom zijn.

[ Voor 18% gewijzigd door Freee!! op 25-01-2011 21:45 . Reden: Was alleen een quote :( ]

[franssie]

LauPro schreef op dinsdag 25 januari 2011 @ 21:43:
Is dit ook mogelijk met anonieme kaarten? Want dan kan je altijd nog stellen dat je de kaart gevonden hebt, je bent behoorlijk stom als je dit met een abonnementkaart gaat doen, direct traceerbaar naar adres...

wat ik begrijp met name de anonieme kaarten (zwakkere sleutel oid). met een abbo kaart idd redelijk stom

[Alex)]

Wat ik me afvraag is of het ook mogelijk is om bij het inchecken het automatisch opladen te laten gebeuren bij bijvoorbeeld een anonieme kaart. Anonieme kaarten zijn technisch identiek aan persoonlijke, slechts een paar bitjes staan anders.

[roelieboelie]

Pinobigbird schreef op dinsdag 25 januari 2011 @ 21:42:
[...]

Ze hadden 'm toch gepakt op doordat hij steeds dezelfde trajecte op dezelfde tijdstippen reisde?

maar hoe dan gepakt? Om telkens op die tijdstippen een aantal politiemensen daar neer te zetten? Of met camera beelden heb getraceerd en daarna opgepakt?

[Matis]

Alex) schreef op dinsdag 25 januari 2011 @ 21:44:
Wat ik me afvraag is of het ook mogelijk is om bij het inchecken het automatisch opladen te laten gebeuren bij bijvoorbeeld een anonieme kaart. Anonieme kaarten zijn technisch identiek aan persoonlijke, slechts een paar bitjes staan anders.

Nee, dat kan niet. Hiervoor moet je een gepersonaliseerde kaart hebben.

[Freee!!]

Alex) schreef op dinsdag 25 januari 2011 @ 21:44:
Wat ik me afvraag is of het ook mogelijk is om bij het inchecken het automatisch opladen te laten gebeuren bij bijvoorbeeld een anonieme kaart. Anonieme kaarten zijn technisch identiek aan persoonlijke, slechts een paar bitjes staan anders.

Voor automatisch opladen moet de kaart aan een bankrekening gekoppeld zijn, wordt een beetje lastig en als het lukt, ben je niet meer anoniem.

[franssie]

roelieboelie schreef op dinsdag 25 januari 2011 @ 21:45:
[...]


maar hoe dan gepakt? Om telkens op die tijdstippen een aantal politiemensen daar neer te zetten? Of met camera beelden heb getraceerd en daarna opgepakt?

http://www.om.nl/onderwerpen/fraude/@153712/aanhouding_voor/

reispatroon dus toch.

[ Voor 3% gewijzigd door franssie op 25-01-2011 21:48 ]

[Alex)]

Matis schreef op dinsdag 25 januari 2011 @ 21:45:
[...]

Nee, dat kan niet. Hiervoor moet je een gepersonaliseerde kaart hebben.

Freee!! schreef op dinsdag 25 januari 2011 @ 21:46:
[...]

Voor automatisch opladen moet de kaart aan een bankrekening gekoppeld zijn, wordt een beetje lastig en als het lukt, ben je niet meer anoniem.

Bij automatisch opladen wordt niet direct geld afgeschreven, dat gebeurt pas enkele dagen later. Wanneer op een persoonlijke kaart automatisch opladen is geactiveerd, staan een paar bitjes anders: automatisch opladen = ja, bedrag = € 10. De reader in een voertuig schrijft meteen saldo bij wanneer het onder de drempelwaarde komt, als het saldo niet van de gekoppelde bankrekening kan worden afgeschreven wordt de kaart later geblokkeerd.

Wat ik me afvraag is of het ook mogelijk is om op een anonieme kaart (zelfde chip als persoonlijke) deze instellingen te doen.

[ManiacsHouse]

Ik vermoed dat onze overheid straks een algeheel verbod op lege chipkaarten (o.i.d) en het in bezit hebben of invoeren/kopen van zo'n reader of het bezit van de software strafbaar gaat stellen. Dan hebben ze het meteen opgelost. "Ja hij is veilig" roepen ze dan "het is in NL nu verboden om de tools in bezit te hebben of te gebruiken". Want gaan zeggen dat ze gewaarschuwd zijn en het systeem gewoon ruk is gaan ze niet zeggen... Kost teveel koppen en straks lopen ze een bonus mis.

[ Voor 17% gewijzigd door ManiacsHouse op 25-01-2011 21:53 ]

[Matis]

Het zou helemaal mooi zijn als je het ID van de kaart ook kon spoofen. Daardoor wordt je helemaal ontraceerbaar en kunnen de kaart dus nooit blokkeren

[nobleone]

Touchdomex schreef op dinsdag 25 januari 2011 @ 21:15:
Ze weten dus dat de kaart ruk is beveiligd? Ze wisten het al bij het invoeren? Maar hebben er maar langzaam iets aangedaan....

Eh, ja dus.

[Alex)]

ManiacsHouse schreef op dinsdag 25 januari 2011 @ 21:52:
Ik vermoed dat onze overheid straks een algeheel verbod op lege chipkaarten (o.i.d) en het in bezit hebben of invoeren/kopen van zo'n reader of het bezit van de software strafbaar gaat stellen. Dan hebben ze het meteen opgelost. "Ja hij is veilig" roepen ze dan "het is in NL nu verboden om de tools in bezit te hebben of te gebruiken". Want gaan zeggen dat ze gewaarschuwd zijn en het systeem gewoon ruk is gaan ze niet zeggen... Kost teveel koppen en straks lopen ze een bonus mis.

Dat zou betekenen dat bedrijven die apparatuur ook niet kunnen gebruiken om toegangspassen voor hun personeel te maken, of een hobbyist. De verkoop van Vaseline werd toch ook niet gestaakt toen bekend werd dat je daarmee met strippenkaarten kon klooien?

Matis schreef op dinsdag 25 januari 2011 @ 21:52:
Het zou helemaal mooi zijn als je het ID van de kaart ook kon spoofen. Daardoor wordt je helemaal ontraceerbaar en kunnen de kaart dus nooit blokkeren

In dat geval zou je een lege MiFare 4K kunnen kopen en ernaar schrijven. Wat je dan nog mist is de vervoerder-specifieke plaatjes en een logo enzo.

[donny007]

Je kunt de kaarten ook voorbedrukt bestellen, oké je gaat dan wel een stapje verder en het is geen simpele hack meer, maar voor een beetje criminele organisatie zal het geen enkel punt zijn.

[franssie]

Matis schreef op dinsdag 25 januari 2011 @ 21:52:
Het zou helemaal mooi zijn als je het ID van de kaart ook kon spoofen. Daardoor wordt je helemaal ontraceerbaar en kunnen de kaart dus nooit blokkeren

vziw is dat het enige van de mifare wat wel goed is, kaart was ook ontwikkeld als ID en niet als saldo kaart waar TLS 'm uit kosten overwegingen (!) en beschikbaarheid wel voor gebruikt.
Echter, defensie gebruikt de kaart als ID en daar is de beveiliging twee jaar geleden wel opgevoerd dus wellicht is het mogelijk.

[donny007]

Kijk over 10 min naar Pownews op NL3, Brenno de Winter gaat demonstreren hoe je een kaart kraakt....
http://www.powned.tv/nieu...t_kraken_doodeenvoud.html

[Tourniquet]

roelieboelie schreef op dinsdag 25 januari 2011 @ 21:31:
[...]


Je zou dan inderdaad gepakt kunnen worden door de reizen te analyseren en de camerabeelden op die betreffende tijdstippen+data te bekijken. Er hangt immers overal tegenwoordig een camera. Bus, tram, metro, trein...Dan is de pakkans best groot denk ik. Vraag is echter of TLS die beelden zomaar mag opvragen en de tweede vraag is natuurlijk hoe lang die beelden bewaard worden die de camera's maken in de bus, treinstation, etc.

Nu je het zegt, op Leiden CS hangen sinds kort nieuwe camera's, direct gericht op de chipkaart-poortjes...

[Gomez12]

Freee!! schreef op dinsdag 25 januari 2011 @ 21:43:
[...]

Kan nog behoorlijk lastig zijn midden in de spits.

Hoezo? Gewoon een zooitje controleurs paar uur op die lijn en complete controle.
Ik ga er dan wel vanuit dat zo'n bus wel een nood-mogelijkheid heeft om de gegevens live door te zetten naar backoffice ( via gsm oid ).
Vanuit backoffice krijg je het rotte kaartnr door en dan kunnen controleurs alle kaarten controleren, dan duurt die busreis maar 10 minuten langer.

Zolang je een live-verbinding met back-office kan hebben lijkt me dat het goed te detecteren moet zijn.

Persoonlijk gok ik ook dat hier de 1e maatregelen van TLS en consorten uit gaan bestaan, gewoon elke lezer zoveel mogelijk live aan 3G koppelen (als 3G wegvalt zou je op huidige werkwijze terug kunnen vallen) zodat backoffice de saldo's kan vergelijken en kaart kan afkeuren als saldo niet overeenkomt.
Offline hackbare kaarten zie ik anders niet gestopt kunnen worden ( even aangenomen dat je die dingen ook kan spoofen ).

Zonder spoofen is het gewoon een blacklist in de terminal van de conducteur douwen elke ochtend en dan meer gaan controleren.

[Verwijderd]

Als dit maar niet betekent dat we straks niet meer anoniem kunnen reizen. Misschien schaffen ze die anonieme kaart wel af? Wie weet?

[freddifish]

En als we gewoon hergeladen kaarten onderling gaan omruilen net als destijds met de AH bonuskaart?
lijkt me onmogelijk te tracken.

Nee deze techniek is failliet. Als de politiek net zo consequent is als bij de stemcomputer gaan we gewoon terug naar de strippenkaart. TLS opdoeken en techniek die zich bewezen heeft inkopen. Graag ook een kaart waar je met meer personen (schoolklas..) tegelijk op kunt reizen. In de metro in NY kan het ook dus ..

[Alex)]

Was onlangs niet het groene licht gegeven om in de regio rondom Rotterdam en in de regio Gelderland de strippenkaart af te schaffen? Zou dit op losse schroeven kunnen komen te staan door deze ontwikkelingen?

[MadMan]

Ik moest effe wachten, maar wie heeft gekeken... SURPRISE

Die camera's hebben dus helemaal geen zin, en gevolgd kan het ook niet worden via de incheckpunten, voor de mensen voor wie bovenstaand niet geheel duidelijk is.

[LauPro]

Verwijderd schreef op dinsdag 25 januari 2011 @ 22:45:
Als dit maar niet betekent dat we straks niet meer anoniem kunnen reizen. Misschien schaffen ze die anonieme kaart wel af? Wie weet?

Heeft geen zin.

Het is mogelijk om thuis in te checken. De controleur/conducteur ziet dan dat je bent ingecheckt en TLS heeft geen inchecktransactie.

[Matis]

LauPro schreef op dinsdag 25 januari 2011 @ 23:04:
[...]
Heeft geen zin.

Het is mogelijk om thuis in te checken. De controleur/conducteur ziet dan dat je bent ingecheckt en TLS heeft geen inchecktransactie.

Dan moet je alleen op je bestemming weer uit kunnen checken. En natuurlijk de terugreis weer kunnen starten.

Dat is wel heel nasty

[Touchdomex]

Matis schreef op dinsdag 25 januari 2011 @ 23:11:
[...]

Dan moet je alleen op je bestemming weer uit kunnen checken. En natuurlijk de terugreis weer kunnen starten.

Dat is wel heel nasty

7 inch netbookje met zo'n USB ding in je tas?

[LauPro]

Of een leuke bluetoothdongle en dan via je telefoon . Al hoewel sommige telefoons een USB host chip hebben, met Android en wat firmware moeten daar mogelijkheden zijn .

[Gomez12]

Verwijderd schreef op dinsdag 25 januari 2011 @ 22:45:
Als dit maar niet betekent dat we straks niet meer anoniem kunnen reizen. Misschien schaffen ze die anonieme kaart wel af? Wie weet?

Waarom zouden ze die anonieme kaart af willen schaffen? Ik schat dat zo ongeveer 90% van het dagelijkse OV-vervoer ook met anonieme kaart perfect te tracen is.

Als ik elke doordeweekse dag om 8 uur buslijn x pak en om 17 uur buslijn y dan hebben ze mijn naam niet nodig hoor, als ze me willen vinden gooien ze wat controleurs om 8:00 of 17:00 in die buslijnen en gaan ze kaartnrs vergelijken.
Meeste mensen hebben een zekere regelmaat in hun leven (1x per week naar de sportschool met het OV?) en die regelmaat is gewoon te detecteren met en zonder anonieme kaart.

[atze]

Gomez12 schreef op dinsdag 25 januari 2011 @ 23:14:
[...]

Waarom zouden ze die anonieme kaart af willen schaffen? Ik schat dat zo ongeveer 90% van het dagelijkse OV-vervoer ook met anonieme kaart perfect te tracen is.

Als ik elke doordeweekse dag om 8 uur buslijn x pak en om 17 uur buslijn y dan hebben ze mijn naam niet nodig hoor, als ze me willen vinden gooien ze wat controleurs om 8:00 of 17:00 in die buslijnen en gaan ze kaartnrs vergelijken.
Meeste mensen hebben een zekere regelmaat in hun leven (1x per week naar de sportschool met het OV?) en die regelmaat is gewoon te detecteren met en zonder anonieme kaart.

Als er massaal gehacked wordt dan wordt dat erg kostbaar en moeilijk te regelen.

[freddifish]

wel positief voor de filedruk deze ontwikkeling

[LauPro]

Gomez12 schreef op dinsdag 25 januari 2011 @ 23:14:
als ze me willen vinden gooien ze wat controleurs om 8:00 of 17:00 in die buslijnen en gaan ze kaartnrs vergelijken.

Maar als je reist met een gekraakte kaart dan ga je die natuurlijk nooit aan die 'ubercontroleurs' geven!

Verfrommel de gebruikte kaart en maak hem stuk. Zeg dat je hebt zwartgereden.

Liever een boete dan een strafblad aan je broek lijkt mij.

[Tourniquet]

MadMan schreef op dinsdag 25 januari 2011 @ 23:04:
Ik moest effe wachten, maar wie heeft gekeken... SURPRISE

Die camera's hebben dus helemaal geen zin, en gevolgd kan het ook niet worden via de incheckpunten, voor de mensen voor wie bovenstaand niet geheel duidelijk is.

Dat was wel even iets nieuws ja. Maar als de poortjes op de grotere stations dicht gaan kun je die manier dus alleen gebruiken om te reizen tussen stations zonder poortjes.

[Rev!]

Werkt de card reader in een laptop (HP 8440p) ook of is dat een ander soort card reader?

[Alex)]

Dat hangt er vanaf wat de cardreader aankan, de specificaties zullen wel te vinden zijn op de site van HP.

[anandus]

Alex) schreef op dinsdag 25 januari 2011 @ 22:54:
Was onlangs niet het groene licht gegeven om in de regio rondom Rotterdam en in de regio Gelderland de strippenkaart af te schaffen?

Volgende week in Zuid-Holland (Connexxion) in ieder geval.

Zou dit op losse schroeven kunnen komen te staan door deze ontwikkelingen?

Denk het niet, eigenlijk.

[Alex)]

De uitzending van het PowNews staat online en er gaan in ieder geval vragen gesteld worden.

[Gomez12]

atze schreef op dinsdag 25 januari 2011 @ 23:20:
[...]
Als er massaal gehacked wordt dan wordt dat erg kostbaar en moeilijk te regelen.

Massaal gehacked zal imho ook wel redelijk meevallen. Gewoon snel een paar grote voorbeelden stellen en je hebt al een boel mensen bang gemaakt.

Sowieso vraag ik me momenteel af hoeveel van het OV echt op kaartjesmensen draait die dit soort geintjes zouden aandurven.
Studenten vallen veelal buiten de boot (OV-chipkaart), bejaarden zijn imho snel bang te maken, werkenden/vaste traject reizigers zullen veelal een abbonnement hebben, echt incidentele reizigers zullen het al snel te veel moeite vinden. Ik kan me geen echt grote groep bedenken die nog overblijft...

LauPro schreef op dinsdag 25 januari 2011 @ 23:26:
[...]
Maar als je reist met een gekraakte kaart dan ga je die natuurlijk nooit aan die 'ubercontroleurs' geven!

Verfrommel de gebruikte kaart en maak hem stuk. Zeg dat je hebt zwartgereden.

Liever een boete dan een strafblad aan je broek lijkt mij.

Kan, maar zwartrijden is ook 35 euro boete dus dat gaat ook al vrij duur worden als er maar tijdelijk genoeg controle is.
Sowieso vraag ik me af of je voor dit soort geintjes echt een strafblad zou kunnen krijgen. Volgens mij valt het in dezelfde categorie als vaseline op een strippenkaart. Enkel als je de uitleesbare kaart-id niet kan veranderen dan zouden ze iets van een patroon kunnen aantonen, maar anders hebben ze echt enkel die ene keer waarmee ze je iets kunnen maken (of je moet het zo bont gemaakt hebben dat ze even de camera beelden van de afgelopen maanden erbij gepakt hebben)

[Dido]

LauPro schreef op dinsdag 25 januari 2011 @ 23:26:
Maar als je reist met een gekraakte kaart dan ga je die natuurlijk nooit aan die 'ubercontroleurs' geven!

Verfrommel de gebruikte kaart en maak hem stuk. Zeg dat je hebt zwartgereden.

Liever een boete dan een strafblad aan je broek lijkt mij.

Maar als je bij controle toch zegt zwart te reizen, waarom dan in hemelsnaam moeite doen met een chipjaart te reizen? Dan heb je helemaal geen kaart nodig

[LauPro]

Gomez12 schreef op woensdag 26 januari 2011 @ 00:06:
Kan, maar zwartrijden is ook 35 euro boete dus dat gaat ook al vrij duur worden als er maar tijdelijk genoeg controle is.

Het leuke is dat het hele systeem staat of valt met controle.

En een van de redenen bij de invoering die werd genoemd is dat er dus minder controle nodig zou zijn. Het blijkt dus echter dat er juist meer controle nodig gaat zijn.

Sowieso vraag ik me af of je voor dit soort geintjes echt een strafblad zou kunnen krijgen.

Is al gebeurd:

nieuws: Rechter veroordeelt ov-kaarthacker wegens computervredebreuk

Dido schreef op woensdag 26 januari 2011 @ 00:09:
Maar als je bij controle toch zegt zwart te reizen, waarom dan in hemelsnaam moeite doen met een chipjaart te reizen? Dan heb je helemaal geen kaart nodig

Zie bovenstaande argument.

Tevens wil het nog niet zeggen dat je hiermee in de trein bijv. vrij kan reizen. En daar zit dan toch echt de meeste winst, de bus e.d. valt allemaal wel mee.

[ Voor 22% gewijzigd door LauPro op 26-01-2011 00:12 ]

[Salvatron]

Ik vraag me af hoe de NS weet dat de kaarten gekraakt waren. Als het een anonieme kaart is, dan is het raar dat de NS dat weet omdat de NS dan niet na kan gaan of het bedrag daadwerkelijk van de bank is afgeschreven. Hoewel het theoretisch wel mogelijk is om alle bedragen te checken, echter zou ik dit raar vinden.

[Dido]

LauPro schreef op woensdag 26 januari 2011 @ 00:11:
Zie bovenstaande argument.

Ik snap je argument niet. Ik snap wel waarom je die kaart niet aan de controleur overhandigd, ik snap alleen niet waarom je ueberhaupt moeite doet om aan die kaart te komen als je hem bij een controle toch niet gebruikt. Dan stap je gewoon zonder kaart in, heb je hetzelfde effect.

[Jazco2nd]

Kweenie of dit mag, maar even googlen en het simpele Windows tooltje om een kopie van je OV chip (met bijv 20 euro saldo) op je pc te zetten (en als je kaart later op 0 staat, de kopie weer terugzetten incl saldo) is zo gevonden. Het is gewoon een Google Code project met de naam crapto1.
http://code.google.com/p/crapto1/

Eens kijken of een RFID lezer gauw gevonden is in de pricewatch

[donny007]

Op ov-chipkaart.org (ff wachten totdat die weer up is, teveel bezoekers xD) staat de Linux handleiding, op de wiki staan links naar tools voor Windows, waaronder de tools die gebruikt zijn bij de NOS (op het OVSaldo.exe na, die is nog niet vrijgegeven).

De Crapto1 tool werkt alleen met input van RFID sniffers (vrij dure apparatuur)

[ Voor 14% gewijzigd door donny007 op 26-01-2011 00:32 ]

[Tourniquet]

Spruit 11 schreef op woensdag 26 januari 2011 @ 00:16:
Ik vraag me af hoe de NS weet dat de kaarten gekraakt waren. Als het een anonieme kaart is, dan is het raar dat de NS dat weet omdat de NS dan niet na kan gaan of het bedrag daadwerkelijk van de bank is afgeschreven. Hoewel het theoretisch wel mogelijk is om alle bedragen te checken, echter zou ik dit raar vinden.

Ze zullen in de software wel een controle hebben ingebouwd waarbij kaartnummers waarmee is ingecheckt zonder dat er (voldoende) saldo op is geladen boven water komen. Opladen hoeft overigens niet perse per bank, er zijn ook automaten waar je met contant geld een kaart kunt kopen of opladen.

[Jazco2nd]

Tourniquet schreef op dinsdag 25 januari 2011 @ 23:38:
[...]


Dat was wel even iets nieuws ja. Maar als de poortjes op de grotere stations dicht gaan kun je die manier dus alleen gebruiken om te reizen tussen stations zonder poortjes.

Dat gaat dus nooit gebeuren, weer zo'n zwakte van het systeem. De grote stations moet je namelijk doorheen kunnen lopen, of je nou een ov chip hebt of niet. Denk aan Utrecht Centraal (winkelgebied en congrescentra), WTC, Amstel, R'dam en A'dam CS. De NS poortjes blijven altijd open.

[Jeroen]

Wat mij betreft doen ze wat ze al vanaf dag 1 hadden moeten doen: een licentie nemen op een bestaand, bewezen systeem. Neem bijvoorbeeld de Octopus kaart, daarvan zijn er al tientallen miljoenen in omloop en niemand reist zwart.

Overigens is zo'n systeem onmogelijk goed te implementeren zonder poortjes. Maar ook poortjes neemt niet weg dat je er niet toch door kunt lopen. Zo zijn de stations met Octopus opgedeeld in betaalde zones en onbetaalde zones en moet je voor betaalde zones dus door een poortje. Simpel, toch?

Bijkomend probleem is dat je eigenlijk zou willen dat je in de nabije toekomst allerlei dingen kon betalen met je contactloze kaart. Nog steeds is de Octopus een goed voorbeeld. Nu je op de OV Chipkaart zomaar saldo kan zetten is de kans dat dat op korte termijn gebeurt nihil.

[ Voor 21% gewijzigd door Jeroen op 26-01-2011 00:52 ]

[LauPro]

Dido schreef op woensdag 26 januari 2011 @ 00:21:
Ik snap je argument niet. Ik snap wel waarom je die kaart niet aan de controleur overhandigd, ik snap alleen niet waarom je ueberhaupt moeite doet om aan die kaart te komen als je hem bij een controle toch niet gebruikt. Dan stap je gewoon zonder kaart in, heb je hetzelfde effect.

De normale controleurs/conducteurs hebben geen apparatuur die contact zoekt met de database van TLS.

Ze zullen minimaal een soort van GPRS moeten hebben om te controleren.

Verder dacht ik dat conducteurs het saldo niet mochten zien ivm privacy. Dus dat kan nogal een leuke worden als dat saldo dan wel over de lijn van een toestel van een conducteur gaat.

[Gomez12]

Spruit 11 schreef op woensdag 26 januari 2011 @ 00:16:
Ik vraag me af hoe de NS weet dat de kaarten gekraakt waren. Als het een anonieme kaart is, dan is het raar dat de NS dat weet omdat de NS dan niet na kan gaan of het bedrag daadwerkelijk van de bank is afgeschreven. Hoewel het theoretisch wel mogelijk is om alle bedragen te checken, echter zou ik dit raar vinden.

Ach, die checkdingen van NS zullen (als ze van te voren goed hebben nagedacht) ook wel gewoon kaartnr + huidig bedrag opslaan om dit dan later te uploaden naar het backoffice.

NS zelf heeft dan geen controle (of in ieder geval geen zinvolle omdat ze toch ook offline checken volgens mij) maar "het systeem" kan dan wel de kaart aanmerken als saldo's niet kloppen, waardoor je in een perfecte OV-situatie 1x een valse kaart zou kunnen gebruiken.

Als TLS echt pas over 5 jaar iets eraan wil doen, dan wordt het volgens mij een humortijd. Nu zijn al die kaarten nieuw etc, maar over 1/2 jaar zijn die dingen een paar keer in de was geweest, bestickerd etc waardoor je je fake helemaal niet meer netjes hoeft te bestickeren.
Beetje goede kleurenprinter, lamineerapparaat en wat stickerboekjes van je kinderen en dat ding is dan niet meer van echt te onderscheiden.
Als die kaart-id's dan ook nog te faken zijn, dan is het helemaal enkel een lijst op inet gooien met geldige kaart-id's (skimmers krijgen weer gouden tijden met rfid) en iedereen kan kiezen als wie hij wil reizen.

Combineer die mogelijkheden met de regeringswens om de OV-kaart af te schaffen voor langstudeerders en ik zie een heel grote groep mogelijke misbruikers.

[Verwijderd]

Maar als die kaart nu volledig beschrijfbaar is zou je dan ook zeg maar een kaart kunnen kopen en er NAW-gegevens ed op aanpassen zodat hij gelezen wordt als de kaart van iemand anders, zoals je buurman bijv?

[anandus]

Jazco2nd schreef op woensdag 26 januari 2011 @ 00:34:
[...]


Dat gaat dus nooit gebeuren, weer zo'n zwakte van het systeem. De grote stations moet je namelijk doorheen kunnen lopen, of je nou een ov chip hebt of niet. Denk aan Utrecht Centraal (winkelgebied en congrescentra), WTC, Amstel, R'dam en A'dam CS. De NS poortjes blijven altijd open.

Is dat zo?
Voor zover ik weet (maar ik kan er naast zitten) zijn ze in ieder geval van plan in A'dam en Leiden op termijn het station af te grendelen.
Voor WTC (wat al een aantal jaar Zuid heet) zal dat sowieso geen probleem zijn gezien de plaatsing van de poortjes).

Utrecht en Rotterdam weet ik niet, ik kom daar niet vaak genoeg en weet niet hoe de poortjes daar geplaatst zijn.

[Verwijderd]

anandus schreef op woensdag 26 januari 2011 @ 08:05:
[...]

Is dat zo?
Voor zover ik weet (maar ik kan er naast zitten) zijn ze in ieder geval van plan in A'dam en Leiden op termijn het station af te grendelen.
Voor WTC (wat al een aantal jaar Zuid heet) zal dat sowieso geen probleem zijn gezien de plaatsing van de poortjes).

Utrecht en Rotterdam weet ik niet, ik kom daar niet vaak genoeg en weet niet hoe de poortjes daar geplaatst zijn.

In Utrecht heb je geen poortjes, maar paaltjes.

Aangezien ik geen regelmatig reispatroon heb, zou deze hack voor mij best wel eens aantrekkelijk kunnen zijn. Niet dat ik nu meteen zo'n tag-lezer/schrijver ga kopen en ga frauderen, maar het klinkt allemaal toch wel erg aantrekkelijk. Een retourtje naar bijv. mijn ouders (vol tarief, want ik reis maar weinig) kost me 30 euro. Als ik nu thuis zelf mijn chipkaart (die ik nog niet heb) op ingecheckt zet en in de trein stap, ziet een conducteur niets bijzonders als ik het allemaal goed begrijp. Vervolgens zet ik, als ik bij mijn ouders ben, de backup van mijn chipkaart terug en als ik weer naar huis wil zet ik hem weer op ingecheckt.

Dat doe ik 3 keer en ik heb mijn tag-lezer/schrijver + de anonieme chipkaart + de 20 euro tegoed (die je nodig hebt om bij NS te kunnen reizen) terugverdiend. Daarnaast ga ik de chipkaart gewoon gebruiken voor de sporadische bus- en tramreis, waarvoor ik gewoon netjes betaal. (Veel van die reizen krijg ik toch vergoed van de zaak.)

Ik ga dit toch eens een beetje volgen.

[BlakHawk]

Gomez12 schreef op dinsdag 25 januari 2011 @ 22:39:
Hoezo? Gewoon een zooitje controleurs paar uur op die lijn en complete controle.
Ik ga er dan wel vanuit dat zo'n bus wel een nood-mogelijkheid heeft om de gegevens live door te zetten naar backoffice ( via gsm oid ).
Vanuit backoffice krijg je het rotte kaartnr door en dan kunnen controleurs alle kaarten controleren, dan duurt die busreis maar 10 minuten langer.

Zolang je een live-verbinding met back-office kan hebben lijkt me dat het goed te detecteren moet zijn.

Persoonlijk gok ik ook dat hier de 1e maatregelen van TLS en consorten uit gaan bestaan, gewoon elke lezer zoveel mogelijk live aan 3G koppelen (als 3G wegvalt zou je op huidige werkwijze terug kunnen vallen) zodat backoffice de saldo's kan vergelijken en kaart kan afkeuren als saldo niet overeenkomt.
Offline hackbare kaarten zie ik anders niet gestopt kunnen worden ( even aangenomen dat je die dingen ook kan spoofen ).

Zonder spoofen is het gewoon een blacklist in de terminal van de conducteur douwen elke ochtend en dan meer gaan controleren.

Koop je één keer 5 kaarten en blijf je wisselen, dan duurt het wel ff voor ze je door hebben, gok ik
Kosten die anonieme kaarten veel geld?

donny007 schreef op dinsdag 25 januari 2011 @ 22:00:
Je kunt de kaarten ook voorbedrukt bestellen, oké je gaat dan wel een stapje verder en het is geen simpele hack meer, maar voor een beetje criminele organisatie zal het geen enkel punt zijn.

Nee maar die kaart had je toch "gevonden" op het station?

freddifish schreef op dinsdag 25 januari 2011 @ 22:45:
En als we gewoon hergeladen kaarten onderling gaan omruilen net als destijds met de AH bonuskaart?
lijkt me onmogelijk te tracken.

Nee deze techniek is failliet. Als de politiek net zo consequent is als bij de stemcomputer gaan we gewoon terug naar de strippenkaart. TLS opdoeken en techniek die zich bewezen heeft inkopen. Graag ook een kaart waar je met meer personen (schoolklas..) tegelijk op kunt reizen. In de metro in NY kan het ook dus ..

Hele community starten die om de week kaarten onderling uitwisselen, hahaha.

LauPro schreef op dinsdag 25 januari 2011 @ 23:26:
[...]
Maar als je reist met een gekraakte kaart dan ga je die natuurlijk nooit aan die 'ubercontroleurs' geven!

Verfrommel de gebruikte kaart en maak hem stuk. Zeg dat je hebt zwartgereden.

Liever een boete dan een strafblad aan je broek lijkt mij.

Inderdaad, want je hebt natuurlijk altijd nog een tweede kaart op zak, waarmee je niet fraudeert
Dus inderdaad zwart gereden...

Dido schreef op woensdag 26 januari 2011 @ 00:21:
Ik snap je argument niet. Ik snap wel waarom je die kaart niet aan de controleur overhandigd, ik snap alleen niet waarom je ueberhaupt moeite doet om aan die kaart te komen als je hem bij een controle toch niet gebruikt. Dan stap je gewoon zonder kaart in, heb je hetzelfde effect.

Een tweede valide kaart, waarmee je "vergeten bent" in te checken. Ik heb nog nooit controleurs in de bus gezien...


Ik vind het gewoon een erg vieze actie, dat de prijzen op veel trajecten >50% verhoogd zijn.
Ik reis nooit met het OV en mijn afkeer groeit met de dag als ik dit allemaal lees en hoor. Mijn vader doet het ook niet meer. Ging altijd met de bus naar werk. Maar nu 50% duurder geworden, dus gaat hij maar met de auto...

[pasz]

Jeroen schreef op woensdag 26 januari 2011 @ 00:49:
Wat mij betreft doen ze wat ze al vanaf dag 1 hadden moeten doen: een licentie nemen op een bestaand, bewezen systeem. Neem bijvoorbeeld de Octopus kaart, daarvan zijn er al tientallen miljoenen in omloop en niemand reist zwart.

Overigens is zo'n systeem onmogelijk goed te implementeren zonder poortjes. Maar ook poortjes neemt niet weg dat je er niet toch door kunt lopen. Zo zijn de stations met Octopus opgedeeld in betaalde zones en onbetaalde zones en moet je voor betaalde zones dus door een poortje. Simpel, toch?

Bijkomend probleem is dat je eigenlijk zou willen dat je in de nabije toekomst allerlei dingen kon betalen met je contactloze kaart. Nog steeds is de Octopus een goed voorbeeld. Nu je op de OV Chipkaart zomaar saldo kan zetten is de kans dat dat op korte termijn gebeurt nihil.

Het hele OV-chip gebeuren is ook gebaseerd op Octopus. Alleen moet het in Nederland natuurlijk weer net even anders (lees : meerdere vervoerders per regio en een heel vervelend spoorbedrijf)

[Alex)]

De Octopuskaart is een simpele uitvoering van de OV-chipkaart, en is gebaseerd op dezelfde technologie. De Octopus-kaart is inmiddels ook gekraakt, alleen ligt de gevoeligheid in Nederland hoger omdat je hier ook met de trein kunt reizen met de OV-chipkaart. Octopus is beperkt tot het gebied rondom Londen en daardoor minder interessant.

[honmashinsei]

Dus: anonieme OV-chipkaart kopen, zo'n RFID sticker op de kaart plakken, de kaart "vullen" met OVSaldo en gaan? Lezen die OV-chipkaartlezers in de bus/trein/metro etc. dan niet van de "normale" RFID chip, ipv. de opgeplakte?

Oh en kun je gewoon met cash zo'n anonieme OV-chipkaart kopen, want als je deze moet pinnen dan is ie ook weer makkelijk naar je te traceren natuurlijk

[ Voor 26% gewijzigd door honmashinsei op 26-01-2011 09:18 ]

[anandus]

kthxbye schreef op woensdag 26 januari 2011 @ 09:15:
Dus: anonieme OV-chipkaart kopen, zo'n RFID sticker op de kaart plakken, de kaart "vullen" met OVSaldo en gaan?

Ja, of als je nog een ouderwetse strippenkaart/treinkaart gebruikt: vaseline of transparante nagellak erop, als-ie gestempeld is kan je de stempel er weer afvegen.

[honmashinsei]

anandus schreef op woensdag 26 januari 2011 @ 09:20:
[...]
Ja, of als je nog een ouderwetse strippenkaart/treinkaart gebruikt: vaseline of transparante nagellak erop, als-ie gestempeld is kan je de stempel er weer afvegen.

Haha dat was de ouderwetse manier. Volgens mij hoef je niet eens zo'n sticker erop te plakken als ik dat filmpje van Geenstijl goed begrijp? Bovendien kan een conducteur niet eens zien dat je em "gehacked" hebt? Wat een grap dit!

[Alex)]

Nee, dat klopt. Je doet alles met de chip in de OV-chipkaart, waardoor niemand kan zien dat ermee gerommeld is totdat je het tegen een transactielog van TLS aanhoudt.

Maar wanneer je zelfs zelf in- en uitcheckt (en de readers dus omzeilt) is er geen enkel spoor van je reis te vinden in de systemen van TLS. Ofwel reis je gratis, je reist voor het controlepersoneel legaal, en je privacy is beschermd.

[anandus]

kthxbye schreef op woensdag 26 januari 2011 @ 09:26:
[...]

Haha dat was de ouderwetse manier. Volgens mij hoef je niet eens zo'n sticker erop te plakken als ik dat filmpje van Geenstijl goed begrijp? Bovendien kan een conducteur niet eens zien dat je em "gehacked" hebt? Wat een grap dit!

Mijn punt was eerder dat frauderen van alle tijden is, ik snap ook niet dat er zo'n ophef over is.
Alsof er voorheen geen nagemaakte strippenkaarten in de omloop waren of via makkelijke trucjes niet gefraudeerd kon worden.
Als mensen de crimineel willen uithangen zullen ze dat toch wel doen, high tech of niet

[honmashinsei]

Alex) schreef op woensdag 26 januari 2011 @ 09:30:
Nee, dat klopt. Je doet alles met de chip in de OV-chipkaart, waardoor niemand kan zien dat ermee gerommeld is totdat je het tegen een transactielog van TLS aanhoudt.

Maar wanneer je zelfs zelf in- en uitcheckt (en de readers dus omzeilt) is er geen enkel spoor van je reis te vinden in de systemen van TLS. Ofwel reis je gratis, je reist voor het controlepersoneel legaal, en je privacy is beschermd.

En dat thuis in- of uitchecken, dat doe je dan voornamelijk bij de trein, toch? (hoef je er dan ook geen saldo op te zetten?)

Bij de bus/tram/metro móet je em namelijk wel (voor de chauffeur/tramcontroleur/poortjes houden, dus dan is het toch juist géén goed idee om thuis in en uit te checken?

Ik kijk het even een maandje aan (ga op vakantie), maar ben heel benieuwd wat de stand van zaken is als ik terug ben haha

[Alex)]

In Amsterdam moet je inderdaad inchecken voor het oog van de conducteur, maar hoe dat in Rotterdam, Den Haag en Utrecht is weet ik niet. Maar dit zijn ook kleinere bedragen, vooral de trein is het interessantste voor een fraudeur.

[Maasluip]

Alex) schreef op woensdag 26 januari 2011 @ 09:30:
Nee, dat klopt. Je doet alles met de chip in de OV-chipkaart, waardoor niemand kan zien dat ermee gerommeld is totdat je het tegen een transactielog van TLS aanhoudt.

Maar wanneer je zelfs zelf in- en uitcheckt (en de readers dus omzeilt) is er geen enkel spoor van je reis te vinden in de systemen van TLS. Ofwel reis je gratis, je reist voor het controlepersoneel legaal, en je privacy is beschermd.

Daar gaan ze vast wat voor maken. Een draagbaar controle apparaat dat een online verbinding heeft met TLS. Als de poortjes hun gegevens ook online doorgeven kun je daarmee zien wie volgens de TLS systemen niet heeft ingelogd.

[AutCha]

Zijn de kaart IDs trouwens te vervalsen van deze kaart? Anders is het detecteren van valsspelers binnen no-time kinderspel omdat je in theorie makkelijk kaarten kan detecteren waarmee valsgespeeld wordt. (Door het goed processen van de saldo-info van oplaadpunten, poortjes/incheckpalen en eventueel controlemomenten door conducteurs).

[Henkes]

En de volgende stap is dat dit anywhere anytime met je NFC enabled smartphone kan middels een simpele app (heeft de Nexus S schrijfmogelijkheden)?

De omvang v/h frauderen is gerelateerd aan het gemak. Ook het schrappen van de ov-kaart voor studenten zou ik me als overheid niet aan wagen. Dan komt er nl. meteen een grote "gebruikersgroep" op de markt voor deze hack.

[ Voor 11% gewijzigd door Henkes op 26-01-2011 09:49 ]

[honmashinsei]

Alex) schreef op woensdag 26 januari 2011 @ 09:37:
In Amsterdam moet je inderdaad inchecken voor het oog van de conducteur, maar hoe dat in Rotterdam, Den Haag en Utrecht is weet ik niet. Maar dit zijn ook kleinere bedragen, vooral de trein is het interessantste voor een fraudeur.

Maargoed: als je thuis incheckt, dan moet je op je plaats van bestemming ook weer uit kunnen checken, dus moet je wel naar vrienden/familie/kennissen toe gaan en je USB-apparaatje meenemen. Een dagje uit is er dus niet bij.

In dat geval moet je dus gewoon een flink saldo op je kaart zetten, zodat je daarmee een lange treinreis kan doen?

[Alex)]

Nouja, een netbookje en een touchatag-reader meenemen is een optie. Dan kun je overal waar je maar wilt weer uitchecken en opnieuw inchecken.

Daarnaast zijn er tegenwoordig ook mobieltjes in opkomst met een NFC-reader, bijvoorbeeld de Nexus S. Op dit moment is de reader in de Nexus S read-only, maar NXP (de maker van de chip) heeft bekendgemaakt dat er een update zal volgen zodat die reader read/write wordt. En die NFC-reader is compatible met MiFare-kaarten...

Ofwel, kwestie van tijd tot iemand een Android-app maakt waarmee je het allemaal onderweg kunt doen.

[Jeroen]

Alex) schreef op woensdag 26 januari 2011 @ 09:11:
De Octopuskaart is een simpele uitvoering van de OV-chipkaart, en is gebaseerd op dezelfde technologie. De Octopus-kaart is inmiddels ook gekraakt, alleen ligt de gevoeligheid in Nederland hoger omdat je hier ook met de trein kunt reizen met de OV-chipkaart. Octopus is beperkt tot het gebied rondom Londen en daardoor minder interessant.

Je verwart de Oyster kaart met de Octopus kaart. Nog een voordeel daarvan is dat volgens mij veel van die terminals online zijn.

[Alex)]

Maasluip schreef op woensdag 26 januari 2011 @ 09:38:
[...]

Daar gaan ze vast wat voor maken. Een draagbaar controle apparaat dat een online verbinding heeft met TLS. Als de poortjes hun gegevens ook online doorgeven kun je daarmee zien wie volgens de TLS systemen niet heeft ingelogd.

Dat is een work-around voor het probleem, en geen oplossing. Bovendien duurt dit minstens enkele maanden om het te ontwikkelen en te testen, en zijn er de nodige aanpassingen nodig aan apparatuur in tram en bus: die uploaden hun gegevens nu immers wanneer ze bij de remise aankomen.

De paaltjes van NS uploaden hun gegevens wél direct naar de NS-computers (je kunt vrijwel meteen na het inchecken op http://klanten.ns.nl zien dat je bent ingecheckt) dus wellicht is daar een mogelijkheid. Dan nog zal men aanpassingen moeten doen aan de Railpockets waardoor het controleproces veel langer gaat duren: een feilloze 3G-dekking is in Nederland nog steeds geen feit, dus als je net ergens in een gebied zit met een zwakke dekking (tussen Tilburg en Breda zijn een paar gaps, bijvoorbeeld) sta je zo een halve minuut iemand te controleren.

[Alex)]

Jeroen schreef op woensdag 26 januari 2011 @ 09:57:
[...]


Je verwart de Oyster kaart met de Octopus kaart. Nog een voordeel daarvan is dat volgens mij veel van die terminals online zijn.

Whoops, inderdaad! Duidelijk dat ik nog niet genoeg koffie op heb.

De Octopus-kaart lijkt op heden nog steeds niet te zijn gekraakt, en wordt inmiddels ook gebruikt als chipknip-surrogaat. NS was hier pasgeleden mee aan het experimenteren maar werd teruggefloten omdat TLS geen bankvergunning heeft.

Als die proef was doorgezet (en later uitgerold in de praktijk) had je dus niet alleen met je reizen kunnen frauderen, maar ook bij het kopen van een broodje.

[Jeroen]

Alex) schreef op woensdag 26 januari 2011 @ 10:01:
[...]

De Octopus-kaart [...] wordt inmiddels ook gebruikt als chipknip-surrogaat. NS was hier pasgeleden mee aan het experimenteren maar werd teruggefloten omdat TLS geen bankvergunning heeft.

Als die proef was doorgezet (en later uitgerold in de praktijk) had je dus niet alleen met je reizen kunnen frauderen, maar ook bij het kopen van een broodje.

Jeroen schreef op woensdag 26 januari 2011 @ 00:49:
Bijkomend probleem is dat je eigenlijk zou willen dat je in de nabije toekomst allerlei dingen kon betalen met je contactloze kaart. Nog steeds is de Octopus een goed voorbeeld. Nu je op de OV Chipkaart zomaar saldo kan zetten is de kans dat dat op korte termijn gebeurt nihil.

Inderdaad, en dat is wel jammer.

Ik vind het sowieso dom dat er een of andere manager-type heeft besloten tegen beter weten van zijn meer technisch personeel in dat ze ondanks dat in 2008 alles al gekraakt was (of zelfs daarvoor al) toch maar door moesten gaan met de MiFare technologie massaal uitrollen. Toen was het eigenlijk ook al te laat om het terug te draaien, maar dachten ze dat het zichzelf zou oplossen ofzo? Het valt me nog heel erg mee dat het pas nu echt makkelijk voor consumenten te doen is, in feite was dat een kleine stap.

Het enige wat nu nog kan is het alsnog goed doen, wat zeker nog een keer miljarden gaat kosten, maar als je het zo laat heb je een systeem wat vanaf dag 1 al lek was, waarmee jan en alleman eenvoudig kan frauderen, wat de gewone wel betalende burger benadeelt door hogere prijzen en boetes voor het vergeten uit te checken en dergelijke, en wat alleen bergen met geld aan onderhoud gaat kosten om het nog een beetje lopende te houden.

[Verwijderd]

Ze hadden hier gewoon hetzelfde systeem als in Japan moeten invoeren. Naast de handige ov-kaart ook nog gewoon kaartjes die je kan gebruiken en nooit geemmer met verloren tegoed of lastige poortjes.

[Maasluip]

Alex) schreef op woensdag 26 januari 2011 @ 09:59:
[...]

Dat is een work-around voor het probleem, en geen oplossing. Bovendien duurt dit minstens enkele maanden om het te ontwikkelen en te testen, en zijn er de nodige aanpassingen nodig aan apparatuur in tram en bus: die uploaden hun gegevens nu immers wanneer ze bij de remise aankomen.

Dat klopt in zoverre dat verkleurende inkt ook een workaround is om valse strippenkaarten te ontdekken. Of dat tassencontrole ook een workaround is om fraude met zelfscanners in supermarkten te ontdekken.
En het klopt omdat iedereen werd voorgehouden dat met de invoering van de OVC er geen controle meer nodig was.

De paaltjes van NS uploaden hun gegevens wél direct naar de NS-computers (je kunt vrijwel meteen na het inchecken op http://klanten.ns.nl zien dat je bent ingecheckt) dus wellicht is daar een mogelijkheid. Dan nog zal men aanpassingen moeten doen aan de Railpockets waardoor het controleproces veel langer gaat duren: een feilloze 3G-dekking is in Nederland nog steeds geen feit, dus als je net ergens in een gebied zit met een zwakke dekking (tussen Tilburg en Breda zijn een paar gaps, bijvoorbeeld) sta je zo een halve minuut iemand te controleren.

Dat is verder allemaal niet zo spannend. Geen reactie binnen 10 seconden? Verdergaan. Dergelijke zaken hoeven niet 100% te zijn, het is alleen fijn als het dat is.
Als er maar genoeg mensen op die manier frauderen pik je ze er wel uit.

Bottom-line is dat het systeem "OVC" niet functioneert als je de poortjes niet sluit. Goh, die conclusie hadden we al lang geleden getrokken.

[Jeroen]

Als ze er een online systeem van maken dan werk je daarmee wel om de beperkingen van de beveiliging van de kaart zelf heen, maar dat kost niet alleen veel geld om uit te rollen maar ook veel geld in onderhoud. Bovendien blijf je het risico houden dat iemand het nog verder weet te kraken, zodat je bijvoorbeeld geldige transacties de backoffice in kunt pushen via een paaltje. Dat kunnen ze dan nog wel gaan controleren tegen bankoverschrijvingen maar dat werkt niet snel genoeg.

[Pinobigbird]

De applicatie OVSaldo.exe is overigens nu al met de eerste hit op Google te vinden.

[Raven]

Ik zit zo eens te denken.
De fraude wordt (denk ik) opgemerkt doordat het - niet legaal - verhoogde saldo niet klopt ivt de transacties die gemaakt zijn? Zou die ene app die je in en uit kan checken niet een entry kunnen maken waar in staat dat je saldo verhoogt is om de hoogte van het saldo zo te laten kloppen?

Of denk ik nu te simpel

[ Voor 7% gewijzigd door Raven op 26-01-2011 11:35 ]

[Jeroen]

Raven schreef op woensdag 26 januari 2011 @ 11:34:
Ik zit zo eens te denken.
De fraude wordt (denk ik) opgemerkt doordat het - niet legaal - verhoogde saldo niet klopt ivt de transacties die gemaakt zijn? Zou die ene app die je in en uit kan checken niet een entry kunnen maken waar in staat dat je saldo verhoogt is om de hoogte van het saldo zo te laten kloppen?

Of denk ik nu te simpel

Die app die je incheckt checkt je alleen op je kaart in, niet op de servers. Zodoende is dat ook te detecteren, maar niet in de trein zelf (tot nu toe). Dat is ook hoe je het fake saldo detecteert, ze zien dat je allerlei reizen maakt (adhv data uit de treinen en de bussen als die 's nachts stilstaan) maar ze zien dat je nooit geld op je kaart zet, volgens hun data.

Wat men eerst aanvoerde als mogelijke manier van aanpak is om de camerabeelden van het incheckpunt te bekijken, en zo te zien wie fraudeert. Door zelf in te checken kan dat niet meer, maar wat ze wel kunnen doen is op den duur kaarten identificeren die frauderen, die IDs doorgeven aan de kastjes van de conducteurs en als ze je dan tegenkomen ben je genaaid.

[ Voor 17% gewijzigd door Jeroen op 26-01-2011 11:39 ]

[Raven]

Dat is dus precies mijn punt. Zou het in theorie mogelijk zijn om een entry te maken waardoor het lijkt alsof je saldo op de normale manier verhoogt is (dat zie je in de transacties terug) terwijl het met die app is gedaan?

[0fbe]

Raven schreef op woensdag 26 januari 2011 @ 11:34:
Ik zit zo eens te denken.
De fraude wordt (denk ik) opgemerkt doordat het - niet legaal - verhoogde saldo niet klopt ivt de transacties die gemaakt zijn? Zou die ene app die je in en uit kan checken niet een entry kunnen maken waar in staat dat je saldo verhoogt is om de hoogte van het saldo zo te laten kloppen?

Of denk ik nu te simpel

Er wordt dubbel boekgehouden: Zowel de backoffice als de kaartzelf houdt het saldo bij. Hierdoor kunnen onregelmatigheden dus achteraf gedetecteerd worden.

Wat mensen hierboven alleen vergeten: Niet alle incheck-automaten zijn "live". Een controleur kan dus op het moment dat een kaart gelezen wordt niet checken of het saldo klopt. Er kunnen immers nog transacties zijn die nog niet naar de backoffice geupload zijn.

Dit alles is echter niet het grote gevaar: Als veel mensen met illegale kaarten gaan werken zitten de lokale blacklists in de incheck-automaten vol. Daarnaast kan je ook gewoon kaarten van anderen op afstand ongeldig maken, met alle gevolgen van dien.

[ Voor 16% gewijzigd door 0fbe op 26-01-2011 11:47 ]

[Verwijderd]

In hoeverre is deze nieuwe techniek, met thuis inchecken dus, al getest?

[beesting]

Buiten de verbindingsproblemen gaat dat online checken tegen de gegevens uit de back-office trouwens ook niet werken. Hoewel heel kwalijk, klopt die informatie namelijk ook niet.

Een vriend van me liep hier enkele maanden geleden tegenaan. Hij kwam met zijn declaraties niet op het juiste bedrag uit. Ik heb het met hem nagerekend en wat bleek: een busritje is nooit in zijn online overzicht op ov-chipkaart.nl verschenen. Bij dit busritje was er echter ook sprake van een automatische oplaadtransactie van 10 euro en deze miste dus ook! Er bleek hierdoor een verschil te zijn tussen de bij- en afboekingen (zijn saldo was zo'n 9 euro hoger = 10 euro min busrit van 1 euro). Het geld is ook nooit door TLS afgeschreven. Volgens de bij- en afboekingen die daadwerkelijk vericht zijn, had zijn saldo zo'n 9 euro lager moeten zijn (exact 10 euro minus tarief busritje). Dit is 100% zeker want hij had vanaf zijn eerste rit zijn reizen laten registreren bij ov-chipkaart.nl en daarnaast gebruikte hij de kaart nog maar twee weken, dus waren alle transacties nog gemakkelijk na te rekenen.

Verder kijk ik zelf ook regelmatig bij mijn treinreizen tijdens de rit al op https://klanten.ns.nl/ onder andere omdat ik benieuwd was hoe snel ze dit verwerkten. Normaal is dit na een paar minuten. Echter een keer was ik bang niet goed uit/ingecheckt te hebben omdat er een uitcheck ontbrak. Deze werd pas de volgende dag toegevoegd. Verre van realtime dus.

Als ik rekening houd met bovenstaande is een realtime controle door conducteurs met de gegevens van de back-office bij TLS dus ook onmogelijk! Althans wel zonder daarbij ook gewone reizigers te duperen/valselijk te beschuldigen van fraude.

Edit: Eigenlijk dus wat simplendi ook al zegt, maar dan met de toevoeging dat de gegevens bij de back-office dus ook niet 100% waterdicht zijn (imho erg slecht voor een systeem wat ook op zo'n schaal als belastingtechnisch bewijs moet dienen bij werkdeclaraties!)

[ Voor 8% gewijzigd door beesting op 26-01-2011 12:21 . Reden: toevoeging reactie simplendi en paar kleine verduidelijkingen ]

[Alex)]

Raven schreef op woensdag 26 januari 2011 @ 11:34:
Ik zit zo eens te denken.
De fraude wordt (denk ik) opgemerkt doordat het - niet legaal - verhoogde saldo niet klopt ivt de transacties die gemaakt zijn? Zou die ene app die je in en uit kan checken niet een entry kunnen maken waar in staat dat je saldo verhoogt is om de hoogte van het saldo zo te laten kloppen?

Of denk ik nu te simpel

Nee, dat heb je goed. Oplaadtransacties worden ook in de reisgeschiedenis op de kaart bewaard en doorgestuurd naar TLS. Echter denk ik dat de oplaadautomaat óók een transactie logt vanuit de oplaadautomaat gezien zodat ze ook dit kunnen narekenen.

[thomasdebans]

Wat als je een studenten OV chipkaart inleest, en die vervolgens kopieert naar een andere kaart.
Ziet de controleur dan ook dat er een studenten reis product op de kaart staat?

Als student hoef je namelijk nooit in te checken bij de NS.
De controleur kijkt alleen naar het product op de kaart.

[Verwijderd]

Ok, ovsaldo.exe is uitgelekt. Wie heeft hem al getest?

[donny007]

Ik heb hem net getest, de tool (hier te vinden) werkt prima met de touchatag lezer, de kaart is aangepast, de kaartautomaat zegt nu dat er 1 euro meer opstaat, inchecken heb ik nog niet getest.

[Pinobigbird]

Nu alleen nog wachten op OVStation.exe om de entries zelf aan te maken, zoals ook in het nieuws getoond is.

[dinkelover]

Om kort even melding te maken van iets heel anders. In een bepaalde regio reis ik erg veel met de bus (3x per week). Voormalig altijd met strippenkaart, 10 strippen = 5,00 euro voor enkeltje. In dit gebied was Syntus actief en met de OV-Chip introductie kostte hetzelfde ritje 6,90 euro ongeveer. 0,79 start + 6,10 +/- aan afstand. Nu heeft Arriva de regio overgenomen en kost hetzelfde ritje nog maar rond de 4,30 á 4,80 euro, ok ik krijg nu permanent 20% korting, mar dan is het verschil nog steeds veel te groot. Uit de overzichten weet ik zeker dat mij via Arriva vrijwel nooit opstarttarief wordt berekend. Alleen een enkele keer. Connexxion rekent dit wel altijd (uiteraard). Zo heeft een busrit van 10km mij gisteren 72 cent gekost Het was mijn begin van de rit, dus geen overstap oid, Ik kon netjes in- en uitchecken bij begin en einde, niks raars. Ik was tevens de enige passagier Daarbovenop kom ik nog steeds bussen tegen waarbij de dienst is afgesloten op mijn route, ik denk zo 1 op 8 bussen. In sommige gevallen reis ik dan helemaal gratis hele rit, snelbus hele traject. Kortom, toen Syntus er nog was reisde ik met de grote strippenkaart omdat me dat minimaal 3 euro per dag opleverde. Nu Arriva er is sinds anderhalve maand is, ben ik middels OV-chip zelfs minder kwijt t.o.v. van de strippenkaart!

[0fbe]

Wat men even niet moet vergeten, zelfs het achterhalen van de keys van je OV-chipkaart is al strafbaar:

Artikel 138ab

1. Met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie wordt, als schuldig aan computervredebreuk, gestraft hij die opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk of in een deel daarvan. Van binnendringen is in ieder geval sprake indien de toegang tot het werk wordt verworven:
a. door het doorbreken van een beveiliging,
b. door een technische ingreep,
c. met behulp van valse signalen of een valse sleutel, of
d. door het aannemen van een valse hoedanigheid.

Alhoewel het natuurlijk lastig is om te detecteren of iemand dat heeft gedaan.

[ Voor 5% gewijzigd door 0fbe op 26-01-2011 13:38 ]

[donny007]

Artikeltje 232sr lijkt me meer van toepassing:

Hij die opzettelijk een betaalpas, waardekaart, enige andere voor het publiek beschikbare kaart of een voor het publiek beschikbare drager van identiteitsgegevens, bestemd voor het verrichten of verkrijgen van betalingen of andere prestaties langs geautomatiseerde weg, valselijk opmaakt of vervalst, met het oogmerk zichzelf of een ander te bevoordelen, wordt gestraft met gevangenisstraf van ten hoogste zes jaren of geldboete van de vijfde categorie.

De OV-chipkaart is een waardekaart en betaalpas, bevat identiteitsgegevens en is bedoeld om betalingen mee te verrichten langs een geautomatiseerde weg. Zodra je deze kaart dus vervalst of een vervalste kaart aanmaakt, met het OOGMERK om jezelf er mee te BEVOORDELEN (dus niet als je de kaart alleen wilt onderzoeken, pas zodra je ermee gaat reizen en er je voordeel mee behaalt), voldoe je aan de eisen van dit artikel (232 Sr.)

Het oogmerk tot wederrechtelijke bevoordeling (de intentie om je voordeel eruit te halen) is dus zeer belangrijk, de rechter zal uiteindelijk beslissen of dit oogmerk aanwezig is.

[Verwijderd]

donny007 schreef op woensdag 26 januari 2011 @ 13:48:
Artikeltje 232sr lijkt me meer van toepassing:


[...]


De OV-chipkaart is een waardekaart en betaalpas, bevat identiteitsgegevens en is bedoeld om betalingen mee te verrichten langs een geautomatiseerde weg. Zodra je deze kaart dus vervalst of een vervalste kaart aanmaakt, met het OOGMERK om jezelf er mee te BEVOORDELEN (dus niet als je de kaart alleen wilt onderzoeken, pas zodra je ermee gaat reizen en er je voordeel mee behaalt), voldoe je aan de eisen van dit artikel (232 Sr.)

Het oogmerk tot wederrechtelijke bevoordeling (de intentie om je voordeel eruit te halen) is dus zeer belangrijk, de rechter zal uiteindelijk beslissen of dit oogmerk aanwezig is.

Geldt dit ook voor de anonieme kaart dan? Die bevat geen identiteitsgegevens.

[Jeroen]

Het lijkt me niet zo'n probleem om een wet te vinden om zwartrijders een celstraf/boete mee aan te smeren, interessanter lijkt me een wet die bepaalt dat een bedrijf welke verantwoordelijk is voor dergelijke geld- en identiteitskaarten bepaalde plichten heeft zoals het fatsoenlijk beveiligen of er in ieder geval moeite in steken.

[Jeroen]

Verwijderd schreef op woensdag 26 januari 2011 @ 14:01:
[...]


Geldt dit ook voor de anonieme kaart dan? Die bevat geen identiteitsgegevens.

Een briefje van 100 euro bevat ook geen identiteitsgegevens, dat mag je ook niet vervalsen. Bovendien, ja.

[GoldenSample]

Jeroen schreef op woensdag 26 januari 2011 @ 11:38:
[...]


Die app die je incheckt checkt je alleen op je kaart in, niet op de servers. Zodoende is dat ook te detecteren, maar niet in de trein zelf (tot nu toe). Dat is ook hoe je het fake saldo detecteert, ze zien dat je allerlei reizen maakt (adhv data uit de treinen en de bussen als die 's nachts stilstaan) maar ze zien dat je nooit geld op je kaart zet, volgens hun data.

Wat men eerst aanvoerde als mogelijke manier van aanpak is om de camerabeelden van het incheckpunt te bekijken, en zo te zien wie fraudeert. Door zelf in te checken kan dat niet meer, maar wat ze wel kunnen doen is op den duur kaarten identificeren die frauderen, die IDs doorgeven aan de kastjes van de conducteurs en als ze je dan tegenkomen ben je genaaid.

Dat laatste dat is dan enkel mogelijk (stel je gebruikt een anonieme kaart enkel in de trein die je zelf hebt ingechecked) door de data over de kaartnummers die worden gescanned op te slaan in die conducteurs kastjes, deze data te vergelijken met het centrale systeem en de resultaten hiervan weer terug op de kastjes van de conducteurs te zetten.

[Jeroen]

GoldenSample schreef op woensdag 26 januari 2011 @ 14:11:
[...]

Dat laatste dat is dan enkel mogelijk (stel je gebruikt een anonieme kaart enkel in de trein die je zelf hebt ingechecked) door de data over de kaartnummers die worden gescanned op te slaan in die conducteurs kastjes, deze data te vergelijken met het centrale systeem en de resultaten hiervan weer terug op de kastjes van de conducteurs te zetten.

Ja, dat is niet zo moeilijk toch? Geen draadloze real-time verbinding nodig, geen camerabeelden nodig, geen schending van privacy, gewoon ouderwets de autoriteit weer bij de conducteur leggen en de mannetjes aan de politie overhandigen. Uiteraard alleen bij mensen waarbij 99% zeker is dat ze frauderen, zo te horen gaat er wel eens wat mis met transacties in de backoffice dus zouden ze daar een marge op kunnen hebben.

Ze zullen toch iets moeten nu. Ik denk dat als ze 1 maand (of week, of zelfs 1 keer) zwaar optreden tegen fraudeurs om te demonstreren dat ze het wel kunnen zien, dat heel gemiddeld Nederland afhaakt van het idee en gewoon zal betalen.

[Alex)]

'OV-bedrijven moeten problemen zelf oplossen'

26 januari 2011

'Vervoersbedrijven als de RET moeten zelf voorkomen dat de OV-chipkaart kan worden gekraakt. Desnoods vervangen ze alle kaarten.' Dit zegt VVD-kamerlid Charlie Aptroot in het radioprogramma [e-mail] op Radio Rijnmond.
Directeur Pedro Peters van de RET gaat niet op de stelling van Aptroot. Hij blijft, ondanks dat de RET mede-eigenaar is van Trans Link Systems, wijzen naar het Amersfoortse bedrijf als eindverantwoordelijke organisatie in dit dossier.

De Tweede Kamer houdt binnenkort een spoeddebat over de OV-chipkaart. De PvdA wil van verantwoordelijk minister Melanie Schultz van Haegen (Infrastructuur en Milieu) weten welke maatregelen zij gaat nemen.

Dinsdag bleek dat de kaart nog steeds te kraken is. ICT-journalist Brenno de Winter reed lange tijd met gekraakte OV-chipkaarten in trein, bus, tram en metro. Zijn kaarten werden niet geblokkeerd, hoewel dit wel is toegezegd door Trans Link Systems. Het bedrijf zegt de kraak wel te hebben gezien, maar heeft niet ingegrepen omdat de anonieme OV-chipkaart moet worden gevolgd om de fraudeur te kunnen pakken. De NS-palen blokkeerden de kaart echter wel degelijk, maar na een paar aanpassingen kon De Winter toch weer met de kaart reizen.

Dat de kaart nog steeds gekraakt kan worden is saillant. Over een week is de OV-chipkaart in heel Zuid-Holland het enige betaalmiddel voor het OV. Op 3 februari gaat vervoersbedrijf Arriva als laatste vervoerder in de regio Rijnmond over op de OV-chipkaart. Een spoeddebat van Provinciale Staten leidde niet tot een ander voornemen.

RTV Rijnmond

[Dolan]

beesting schreef op woensdag 26 januari 2011 @ 12:15:
Een vriend van me liep hier enkele maanden geleden tegenaan. Hij kwam met zijn declaraties niet op het juiste bedrag uit. Ik heb het met hem nagerekend en wat bleek: een busritje is nooit in zijn online overzicht op ov-chipkaart.nl verschenen. Bij dit busritje was er echter ook sprake van een automatische oplaadtransactie van 10 euro en deze miste dus ook! Er bleek hierdoor een verschil te zijn tussen de bij- en afboekingen (zijn saldo was zo'n 9 euro hoger = 10 euro min busrit van 1 euro). Het geld is ook nooit door TLS afgeschreven. Volgens de bij- en afboekingen die daadwerkelijk vericht zijn, had zijn saldo zo'n 9 euro lager moeten zijn (exact 10 euro minus tarief busritje). Dit is 100% zeker want hij had vanaf zijn eerste rit zijn reizen laten registreren bij ov-chipkaart.nl en daarnaast gebruikte hij de kaart nog maar twee weken, dus waren alle transacties nog gemakkelijk na te rekenen.

Dit gaat wel vaker fout. Als een bus z'n transactiegegevens aan 't einde van de dag niet kan exporteren (gaat bij ons via WiFi op de stalling) dan weet TLS nog van niks. Gaat er een bus kapot of wat dan ook en gaat de accu en alles helemaal los van het systeem, dan is er een kans dat die gegevens (zoals het opladen en de gemaakte reizen) nooit naar TLS worden verstuurd. Ze schijnen wel bezig te zijn om hier een oplossing voor te verzinnen, voorheen mochten we InfoXX nooit resetten tijdens een rit (omdat reizigers dan niet konden uitchecken ofzo na de reboot), maar dat werkt nu wel weer gewoon.

[Jeroen]

trolleystad schreef op woensdag 26 januari 2011 @ 14:37:
Gaat er een bus kapot of wat dan ook en gaat de accu en alles helemaal los van het systeem, dan is er een kans dat die gegevens (zoals het opladen en de gemaakte reizen) nooit naar TLS worden verstuurd.

Toch handig zo'n flashgeheugen. Lijkt me niet zo moeilijk om in een keer goed te doen...

[ Voor 33% gewijzigd door Jeroen op 26-01-2011 14:49 ]

[alex3305]

Alex) schreef op woensdag 26 januari 2011 @ 14:36:
[...]


RTV Rijnmond

Natuurlijk..

Men neme een bewezen, ondeugdelijk slot en zetten deze op een voordeur. Een derde partij kraakt dit slot, jij doet je beklag bij de fabrikant en die zegt dan dat je het zelf maar had moeten oplossen . Omgekeerde wereld lijkt dat wel.

Overigens is het uberhaupt al niet slim om een bewezen, ondeugdelijk slot op de voordeur te zetten, maar dat is wat anders

[Raven]

'Hacker kan wegkomen met kraken OV-chipkaart'

quote: http://www.fok.nl

Hackers kunnen wél wegkomen met het kraken van de OV-chipkaart. De kaart is namelijk zo te manipuleren dat het voor een controleur lijkt alsof hij is ingecheckt op een station zonder dat dit daadwerkelijk is gebeurd. Dat meldt de ict-nieuwssite Webwereld.

Dinsdag maakten de NOS en computertijdschrift PC-Active bekend dat de OV-chipkaart definitief gekraakt is. Gratis reizen kon met eenvoudige Windows-software en een kaartlezer van dertig euro. Zo kon ieder willekeurig bedrag tot 150 euro op de kaart worden gezet zonder dat dit echt geld kost.

Directeur Gerben Nelemans van Trans Link Systems, het bedrijf achter de kaart, zei daarop in Nieuwsuur dat hackers hier niet mee weg zouden komen. Hij wees erop dat de hackers die deze methode gebruiken nog steeds moeten inchecken op het station. Volgens Nelemans heeft het bedrijf het meteen door als er sprake is van fraude. "We detecteren het en doen aangifte. De houder van de kaart wordt opgespoord en vervolgd."

Met eveneens gemakkelijk te gebruiken Windows-software is het echter ook mogelijk om de kaart zo in te stellen dat het lijkt alsof er is ingecheckt op een station. Bij een controle is niet te zien dat er niet betaald is voor de reis. Omdat niet echt wordt ingecheckt, kan de fraude ook niet worden achterhaald.

Een verslaggever van Webwereld stelt al een week op deze manier te reizen, waarbij hij meerdere controles heeft doorstaan. Zelfs een geblokkeerde kaart zou kunnen worden gebruikt.

Juridisch wordt het volgens Webwereld ook moeilijker aan te geven wie het slachtoffer is. Bij een eerlijke incheck maakt TLS het geld waarmee de passagier zijn kaart oplaadde over naar de vervoersbedrijven. Bij de dinsdag geopenbaarde manier van hacken maakt TLS ook geld over, zonder dat de passagier daarvoor heeft betaald. In zo'n geval is TLS de dupe.

Bij de woensdag geopenbaarde manier van hacken zijn de vervoerders de dupe. Die vervoeren namelijk een reiziger zonder hier geld voor te krijgen.

TLS laat in een reactie weten dat sinds 2009 al voorbereidingen worden getroffen om de OV-chipkaart indien nodig van een nieuwe chip te voorzien. Dat programma is erop gericht om over te kunnen gaan op een OV-chipkaart met een hoger beveiligingsniveau als daar door fraude aanleiding voor is.

Op dit moment is het vervangen van de chip volgens een woordvoerder nog niet nodig. "Dat doen we alleen als sprake is van grootschalige fraude. En dan doelen we op fraude die zo grootschalig is dat het ondanks de grote kosten van zo'n operatie loont om de chips te vervangen." Die afweging wordt volgens haar voortdurend gemaakt.

CDA-Kamerlid Maarten Haverkamp wees er op Radio 1 op dat het veel gemakkelijker is om met een strippenkaart te frauderen. Ook moet volgens hem niet worden vergeten dat veel reizigers blij zijn met het gemak van de chipkaart. De SP en de PvdA willen een spoeddebat voeren over de kwestie.

Edit: volgensmij al langsgekomen van andere bron

edit2:
Kamer wil praten over fraude ov-chipkaart

quote: http://www.nu.nl

DEN HAAG - In de Tweede Kamer is voldoende steun voor het houden van een spoeddebat over de fraude die mogelijk blijkt met anonieme ov-chipkaarten.

Dat bleek woensdag in een vergadering waarin de agenda van de Tweede Kamer voor de komende periode wordt bepaald.

Of en wanneer er ook een spoeddebat komt, moet later blijken. Deze week is er op de agenda geen ruimte meer voor.

Bovendien willen de parlementariërs snel een brief van minister Melanie Schultz van Haegen (Infrastructuur) over de kwestie. Wellicht kiezen ze er daarna voor de fraude te bespreken in een commissievergadering.

Zuid-Holland

De Kamerleden willen sowieso snel praten over de ov-chipkaart, omdat per 3 februari in weer een nieuwe regio de strippenkaart wordt afgeschaft. Met ingang van die datum kunnen mensen in Zuid-Holland alleen nog maar met de ov-chipkaart reizen.

PvdA'er Jacques Monasch noemde dat ''een belangrijke invoerdatum''. Zijn collega's van PVV en VVD waren dat met hem eens, nadat eerder al het spoeddebat was aangevraagd door de SP, gesteund door GroenLinks.

Het bedrijf achter de ov-chipkaart, Trans Link Systems, deed dinsdag aangifte van de fraude. De kaarten kunnen worden gekraakt en het saldo kan door fraude worden verhoogd.

[ Voor 18% gewijzigd door Raven op 26-01-2011 15:14 ]

[Brons]

Op dit moment is het vervangen van de chip volgens een woordvoerder nog niet nodig. "Dat doen we alleen als sprake is van grootschalige fraude. En dan doelen we op fraude die zo grootschalig is dat het ondanks de grote kosten van zo'n operatie loont om de chips te vervangen." Die afweging wordt volgens haar voortdurend gemaakt.

Leuk detail is natuurlijk dat ze al jaren weten dat de chip brak is.

[Goner]

donny007 schreef op woensdag 26 januari 2011 @ 13:01:
werkt prima met de touchatag lezer,

LOL !
"the applications of the touchatag starter package are only limited by your imagination."

[jeroen3]

Dan snap ik ook waarom die kaarten zo duur zijn, 7,50.
De zwartrij kosten moet ergens vandaan komen...