NXP grijpt voorlopig naast order opvolger ov-chipkaart

In tegenstelling tot wat het kabinet eerder heeft gezegd, baseert Trans Link Systems zijn migratie van de ov-chipkaart naar een nieuwe versie niet op een SmartMX-chip van NXP maar op een SLE-66-variant van concurrent Infineon. De organisatie is in augustus begonnen met de uitgifte van deze nieuwe kaarten, naast de oude en eenvoudig te kraken Mifare Classic-kaarten. Hiermee wordt een aantal lekken van de huidige chipkaart gedicht, aldus het bedrijf. Volgens Trans Link Systems is de keuze puur technologisch en wordt er bij de volgende stap weer naar alle leveranciers gekeken.

Het lekke Mifare Classic bevat een klein geheugen beveiligd door dedicated hardware. Bij de nieuwe generatie kaarten is echter voor een microcontrollergebaseerde aanpak gekozen. Trans Link Systems kan hier zijn eigen software op zetten en is daarmee minder afhankelijk van één bepaalde leverancier. Bovendien is de software op de kaarten eventueel aan te passen als er problemen worden gevonden. Tijdens het migratietraject, dat gebaseerd is op natuurlijk verloop en enkele jaren zal duren, moeten de nieuwe kaarten zich echter nog gedragen als Mifare Classic. Zowel NXP‘s SmartMX als Infineons SLE-66 speelt hierop in met de mogelijkheid om Mifare na te bootsen. Enkele SLE-66-controllers bieden hiervoor dedicated hardware naast de microcontroller. De Mifare Classic-functionaliteit in de ov-chipkaart wordt waarschijnlijk echter in software geëmuleerd. Trans Link heeft namelijk samengewerkt met de Radboud-onderzoekers die de ov-chipkaart oorspronkelijk hadden gekraakt om een aantal lekken te dichten. Het vrij beschikbare Windows-tooltje om aan de kaart te rommelen, werkt niet meer in de nieuwe variant. De kaartlezers zijn echter niet aangepast en de kaarten zijn Mifare Classic-compatibel, wat doet vermoeden dat het om lekken in de implementatie gaat. Trans Link wil hier geen mededelingen over doen.

Trans Link Systems zegt ondertussen een aantal aanpassingen te hebben gedaan in zijn backofficesysteem en de controleapparaten die conducteurs bij zich hebben. Daardoor wordt het eenvoudiger om fraude op te sporen met kaarten die op naam staan. De Infineon-chips worden dan ook vooral ingezet voor anonieme ov-chipkaarten, terwijl voor de kaarten op naam de oude Mifare Classic-voorraad eerst wordt opgemaakt. Dat zal naar schatting aan het einde van het jaar zijn.