OV kaart uitlezen op telefoon

[A3aan1337]

Laatst werd ik in de trein gecontroleerd. Toen viel het me op dat mijn OV kaart werd uitgelezen met een reguliere smartphone (Samsung). Waarbij het leek dat dit tevens de privé telefoon van de conducteur was.

Later vroeg ik me af in hoeverre er meer data uit die OV kaart getrokken kan worden als deze telefoon niet goed beveiligd meer is.

Waarschijnlijk zijn die apps wel goed beveiligd en is dit helemaal geen risico. Ik heb hier zelf geen verstand van maar vroeg me af of dit veilig is?

Aan de andere kant als iemand malware op deze telefoon plaats waardoor bv een tweede app op die telefoon staat die op de achtergrond tevens de data doorstuurd, zou dat dan mogelijk zijn?

Hoop dat iemand mij kan vertellen dat dit geen kwaad kan

[Miyamoto]

Wat voor data ben je bang kwijt te raken?

[jeroen3]

De ov chipkaart was na enkele weken al gekraakt. De data erop is dus zichtbaar voor iedereen met en nfc reader.

De usb readers waren overal uitverkocht voor weken. Geen idee of dat nu beter is.

[Palo Alto]

A3aan1337 schreef op zaterdag 7 september 2019 @ 19:31:
Waarschijnlijk zijn die apps wel goed beveiligd en is dit helemaal geen risico. Ik heb hier zelf geen verstand van maar vroeg me af of dit veilig is?

Assumption is the mother of all... Je vraag is wel erg belangrijk.

Helaas gebeurt het wat mij betreft te weinig dat organisaties de methode publiceren waarmee het product werkt, m.n. wat betreft de beveiliging. Daardoor moet je als eindgebruiker maar hopen dat het goed is gedaan. Laat het nou uitgerekend een Nederlander zijn die al meer dan 100 jaar heeft aangetoond dat je zoiets juist wel moet publiceren.

Van de werkwijze van de OV-chipkaart schijnt e.e.a. 10 jaar geleden te zijn gepubliceerd, maar ik heb geen idee wat er daarna is gewijzigd.

Het gebrek aan transparantie van dergelijke systemen is wat mij een van de redenen om NAW gegevens zo min mogelijk op kaarten op te slaan. Voor een abonnement hoeft het volgens mij ook niet.

[A3aan1337]

Dank voor de reacties!
Welke data ben je bang kwijt te raken: Naja als het mogelijk is om mijn NAW + email+ reisgeschiedenis dan vind ik dat niet echt prettig. Ik denk niet dat iemand speciaal in mijn informatie geïnteresseerd is.

Maar goed stel ik wil deze info en ik maak een app gericht op conducteurs (vind goedkoopste koffie op een station oid).
Als die app bv ook op de achtergrond de NFC Reader van die phone gebruikt kan zo'n app dan geleidelijk de reisinfo iedereen van wie op die manier de OV kaart wordt gecontroleerd uitlezen?

Ik ben geen expert maar vroeg me gewoon af hoe veilig het is een telefoon te gebruiken om die kaarten te controleren.

[jeroen3]

Joh, als je dat zo graag wilt weten van mensen, doe gewoon een rode jas aan en zeg "hallo reizigersonderzoek, mag ik uw kaartje zien?". Heb je zo een hele trein aan OV Chips binnen.

Je hoeft echt niet zo moeilijk te doen en een app te ontwikkelen en te hopen dat deze aanslaat bij het personeel, welke overigens NFC rechten in het permissie venstertje moet hebben staan. Niet dat veel mensen daar op letten trouwens.
En volgens mij krijg je ook een systeemmelding als je complexe kaarten wil lezen zoals chipkaarten. Je kunt wel passieve kaarten op de achtergrond scannen volgens mij, soort van QR codes zijn dat dan.

Bij Apple kan het vooralsnog helemaal niet.

[AW_Bos]

Ik heb ooit wel eens een app op mijn Samsung-telefoon gehad om ov-chipkaarten te kunnen uitlezen. Echter de ov-chipkaart weigerde hij 'omdat hij die niet ondersteunde'. Na onderzoek bleek dat Samsung geen licensies om de gebruikte chip van de ov-chipkaart te kunnen lezen, mijn sportpasje weigert ook.
dat was blijkbaar nog op mijn vorige telefoon, op mijn S7 kan ik ze prima uitlezen.

Dus ik betwijfel of het überhaupt een Samsung geweest is.
Conducteurs gebruiken normaal een speciaal apparaat die hiervoor geschikt is.

Om terug te komen op je vraag, een 'man in the middle attack' om de data uit te lezen zou theoretisch kunnen. Echter weet ik dat de NS voor NS een speciale appstore heeft, waar je diverse trein applicaties uit kan downloaden. Mogelijk zullen hier wel enige beveiligingen in zitten? Maar ik betwijfel of er een chipkaart leesapp in zit, puur omdat de railpocket (MCL), behoorlijk embedded lijkt. Maar gelukkig heb ik goede connecties Wordt vervolgd.

[ Voor 43% gewijzigd door AW_Bos op 08-09-2019 08:20 ]

[Nijn]

A3aan1337 schreef op zaterdag 7 september 2019 @ 22:23:
Dank voor de reacties!
Welke data ben je bang kwijt te raken: Naja als het mogelijk is om mijn NAW + email+ reisgeschiedenis dan vind ik dat niet echt prettig. Ik denk niet dat iemand speciaal in mijn informatie geïnteresseerd is.

NAW en email staan niet op de chip, enkel een id nummer van de pas, mogelijke reisrechten en reisgeschiedenis (geloof laatste 10 acties).

AW_Bos schreef op zondag 8 september 2019 @ 07:59:
Ik heb ooit wel eens een app op mijn telefoon gehad om ov-chipkaarten te kunnen uitlezen. Echter de ov-chipkaart weigerde hij 'omdat hij die niet ondersteunde'. Blijkbaar heeft Samsung geen licensies om de gebruikte chip van de ov-chipkaart te kunnen lezen, mijn sportpasje weigert ook. ID-kaarten lukte wel met de unieke code en geboortedatum.

Dus ik betwijfel of het überhaupt een Samsung geweest is.

De chip die gebruikt is voor de eerste OV Chipkaarten (die lek waren) is de Mifare Classic. Om die uit te kunnen lezen heb je in je telefoon een NFC reader chip van NXP nodig, anders kun je enkel het id nummer van de kaart lezen. Hoewel de NXP's best populair waren (nu iets minder), zaten ze lang niet in ieder toestel.

Een overzicht van toestellen die het wel/niet kunnen:
https://www.shopnfc.com/en/content/7-nfc-compatibility

AW_Bos schreef op zondag 8 september 2019 @ 07:59:
Conducteurs gebruiken een speciaal apparaat die hiervoor geschikt is.

Eens, dit is een interessante ontwikkeling.

[AW_Bos]

@Nijn , dat klopt inderdaad. Ik kan me chipkaart tot op zekere hoogte uitlezen, zoals mijn geldigheid.