Universiteit mag publiceren over gekraakte ov-chip

De Radboud Universiteit Nijmegen mag de tekortkomingen van de OV-chipkaart naar buiten brengen. Dat heeft de rechtbank in Arnhem vrijdag besloten in een kort geding dat NXP, producent van de chip die is verwerkt in de beoogde vervanger van de strippenkaart, had aangespannen. De universiteit maakte eerder dit jaar bekend dat onderzoekers de chipkaart hadden gekraakt.

NXP is bang voor fraude na publicatie en vreest veiligheidsrisico's. Het Radboud beroept zich op de vrijheid van meningstuiting en krijgt daarin gelijk van de rechter. Die stelde dat het belangrijk is dat de samenleving wordt geïnformeerd over de 'ernstige manco's die de chip blijkt te hebben', zodat het lek kan worden hersteld. NXP heeft de veronderstelde ernstige veiligheidsrisico's volgens de rechter niet voldoende aangetoond. De producent zou geen bedrijfsschade oplopen door publicatie van het onderzoek, maar door het 'produceren en verhandelen van een chip die gebreken blijkt te hebben'.

De wetenschappelijke publicatie over de chipkaart wordt naar verwachting in oktober op een congres in Spanje gepresenteerd. Het Radboud meldde de kraak naar eigen zeggen al op voorhand om het ministerie van Verkeer en NXP de mogelijkheid te geven om de tekortkomingen te herstellen. Details van de kraak van de zogenoemde Mifare-chip zou de universiteit daarom nog niet naar buiten hebben gebracht.

Minister van Binnenlandse Zaken Guusje ter Horst (PvdA) maakte in maart bekend dat de beveiliging van rijksgebouwen werd verscherpt, omdat voor de toegangspassen dezelfde chip wordt gebruikt als voor de gekraakte OV-chipkaart. De bewindsvrouw liet donderdag weten dat de nieuwe passen voor deze gebouwen niet worden voorzien van de gekraakte chip. De Algemene Inlichtingen- en Veiligheidsdienst vindt dat er een andere chip moet komen.

In Nederland zijn zo'n twee miljoen toegangspassen in omloop met de gekraakte chip. NXP wordt niet aansprakelijk gesteld voor de schade. Ter Horst schreef maandag aan de Tweede Kamer dat dit toch weinig kans van slagen heeft en dat er tot nu toe 'geen materiële schade van betekenis' is geleden.

In maart werd bekend dat Duitse onderzoekers de kaart volledig hadden gekraakt. Huizinga gaf daarop onderzoeksinstituut TNO opdracht de chip onder de loep te nemen. Het instituut concludeerde dat de kaart relatief veilig was.

De bewindsvrouw verzocht vervolgens de Royal University in Londen ook naar de chip te kijken. Er ontstonden namelijk vragen over de onafhankelijkheid van het TNO-onderzoek, omdat het instituut betrokken is bij de ontwikkeling van de kaart. De Britten concludeerden net als het Radboud dat de kaart simpel te kraken was.