Smartcards nog steeds onvoldoende veilig

Smartcards zijn ‘slimme kaarten’ zoals de OV-chipkaart, toegangspassen en bankpassen, die, opgeslagen op een chip, gevoelige informatie kunnen bevatten. De informatie op die chip en de versleuteling daarvan mogen niet zomaar te kopiëren of te ‘kraken’ zijn, maar dat is nu soms wel het geval.
"Makers van smartcards moeten daarom twee dingen goed beseffen", vindt De Koning Gans. "Ten eerste wat ze precies willen beschermen, en ten tweede wat een potentiële aanvaller er voor over heeft om daarin te kunnen inbreken. Naarmate een systeem groeit en meer informatie bevat, is het voor de aanvaller steeds interessanter."

Beveiliging laat te wensen over

Vijf jaar geleden maakte De Koning Gans deel uit van het onderzoeksteam van de Radboud Universiteit dat de beveiligingsproblemen van onder andere de OV-chipkaart aantoonde. Voor zijn proefschrift onderzocht hij ook andere type smartcards en concludeert dat de beveiliging nog steeds te weinig aandacht krijgt.
"Klanten vertrouwen vaak blind op de mooie woorden van bedrijven en kunnen die beveiliging zelf moeilijk controleren. Wetenschappers kunnen dat wel . Het zou goed zijn als het gereedschap hiervoor toegankelijker wordt voor andere partijen die met veiligheid te maken hebben."

Gereedschap

In zijn proefschrift ‘Outsmarting smart cards’ beschrijft De Koning Gans twee soorten gereedschap om de veiligheid van smartcards te testen. Die tools zijn beschikbaar gemaakt in open-sourceprojecten waar de ontwerpen van de hardware en software worden gedeeld en daardoor constant kunnen worden verbeterd. Ook De Koning Gans zelf werkt daaraan mee. Als meer professionals dergelijk gereedschap gebruiken, kunnen eventuele missers sneller worden opgespoord en zouden nieuwe smartcards onder betere controle komen te staan. Zo worden de kaarten dus steeds veiliger.

Sloten en sleutels

Maar wat testen De Koning Gans en zijn collega’s dan precies? "De kracht van kaartbeveiliging ligt eigenlijk in het ontwikkelen van het juiste sleutelmechanisme. Dat moet niet zo simpel zijn dat het achterhalen van één sleutel gelijk de hele beveiliging onderuit haalt. Het principe werkt eigenlijk hetzelfde als dat van een slot van een kluis: iedereen snapt het concept van een slot en een sleutel. Maar dat je de sleutel van je eigen kluis hebt, zou niet moeten betekenen niet dat je de sleutel van de kluis van je buurman gemakkelijk kunt laten namaken. Daarvoor is het ontwerp van iedere afzonderlijke sleutel te onvoorspelbaar."

Team high tech crime

De afgelopen jaren heeft high tech crime een enorme vlucht genomen. Denk aan de groei van phishing of fraude via internetbankieren. Sinds de afronding van zijn promotietraject werkt De Koning Gans bij de politie, binnen de afdeling team high tech crime (THTC). Dit specialistische team van de politie wil de zware criminaliteit aanpakken die gebruik maakt van innovatieve en geavanceerde technieken. Samen met bijvoorbeeld financiële experts en rechercheurs werkt De Koning Gans mee in opsporingsonderzoeken met een sterk digitale component. High tech crime kan enorm veel schade toebrengen aan de economie en levert een groot veiligheidsrisico op. Onderzoekers als De Koning Gans zijn dus onmisbare partners in de dagelijkse praktijk van de digital security.

bron: Radboud Universiteit Nijmegen