Nederlands
English
Auteur: arjen
De platte aarde van Huizinga
De kapotte beveiliging van de OV-chipkaart en de wijze waarop de verantwoordelijke bestuurders hiermee omgaan, neemt lachwekkende vormen aan. Desperaat blijft de staatssecretaris zelfs nu nog vasthouden aan het idee ‘dat het allemaal wel meevalt’ en dat bedachte deadlines in principe gewoon gehaald kunnen worden. Het is alsof beleidsmakers niet willen geloven dat de aarde rond is omdat er nu eenmaal diepteinvesteringen in landkaarten gedaan zijn die uitgaan van een platte aarde.
Toen in december het onderzoek naar de interne werking van de Mifare Classic chip gepresenteerd werd, was er niemand aanwezig van een ministerie of van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD). Vreemd, temeer omdat de inhoud van de presentatie al weken van te voren bekend was en het gebruik van de chip in toepassingen als toegangspassen niet bepaald een geheim is. Sinds die presentatie komen vanuit de overheid vooral ontkennende reacties. Onderbouwde opinies van onafhankelijke experts worden zorgvuldig genegeerd, ten gunste van dure onderzoeksrapporten. In iedere ronde stellen experts talloze problemen vast, maar het kabinet weigert keer op keer die visies te accepteren en laat wel rapporten schrijven die hun eigen politieke opinie rechtvaardigd.
Als enkele weken later blijkt dat de experts het opnieuw bij het rechte eind hadden, wordt er een nieuwe opdracht verstrekt om deze feiten ‘te laten controleren’. Dit wordt dan gedaan door dezelfde instantie die een week eerder de plank nog volledig missloeg. Staatssecretaris Huizinga noemt dat ‘een goede regie van het proces’. De experts noemen het ‘lachwekkend’. Op geen enkel moment lijkt er ook maar enige reflectie te zijn over het feit dat keer op keer de opinie van falende adviseurs als uitgangspunt is genomen.
De OV-chip is niet het eerste voorbeeld van die opinie van falende adviseurs. Neem de vele stemmachines. Ook die gingen door de poorten van de ‘TNO u-vraagt-wij-draaien goedkeuringsmachine’. Nu bekend is geworden dat de geplaagde chip ook in toegangsbeveiliging wordt gebruikt, kan gesproken worden van enige paniek bij de ministeries en de AIVD. Toch is, om een of andere reden, de politiek niet in staat te accepteren dat het probleem al lang voor december 2007 structureel en onrepareerbaar was. In augustus 2005 werd er op het ‘What the Hack’ (een grote IT- en hacker conferentie) een presentatie gegeven door Melanie Rieback over fundamentele problemen met de beveiliging van RFID-chips en de transacties die er mee gedaan worden.
Op die bijeenkomst was de recherche met 90 man aanwezig, maar niemand vond het kennelijk nodig de AIVD te melden dat er wellicht een probleempje was met de toegangsbeveiliging van de meeste Nederlandse rijksoverheidsgebouwen. De beveiligingsproblemen die nu ‘ontdekt’ zijn bestaan al jaren, maar kennelijk heeft de AIVD zoiets pas door als een paar promovendi de demonstratie in hun gezicht zwaaien. Schijnbaar zijn er nog steeds mensen die denken dat de aarde plat is.
RFID deurpassen ook gekraakt
Veel acuter dan de nog niet ingevoerde OV-chipkaart is de gekraakte beveiliging van 2 miljoen RFID deurpassen zo staat in het Parool en andere nieuwsbronnen Het idee dat de problemen met de Mifare Classic RFID chip zich zouden beperken tot het toepassingsgebied van de OV kaart, of tot het Nederlands grondgebied zijn een beetje naief. Alle toepassingen van de chip waar informatiebeveiliging een rol speelt staan op de helling.
De Radboud Universiteit wilde vanmorgen nog niet zeggen of de technische informatie wordt vrijgegeven. Een woordvoerder van Ter Horst bevestigt echter dat zodra dat gebeurt, de veiligheid van een groot aantal gebouwen van de overheid en van privé-instellingen als banken niet meer is te garanderen. Om welke gebouwen het gaat, wil hij niet zeggen, om te voorkomen dat deze een al te gemakkelijk doelwit worden.
Hier zien we dus weer hoe hardnekkig het geloof in ‘security-by-obscurity’ is. Het idee dat als je maar een geheimpje kan bewaren over de werking van het beveligingsmechanisme het wel goed zal gaan. Er zijn 100.000.000 kaarten in omloop met de chip die bestudeerd kunnen worden. Dat hou je dus nooit droog. Wat men bij Binnenlandse zaken (en iedere andere organisatie die deze chipcards gebruikt) dus goed moet snappen is dat alle benodigde informatie om het werk van de Radboud Universiteit te repliceren al lang openbaar is. Het niet hardop willen uitspreken dat het kalf verdronken is helpt het kalf niet en vertraagt het dempen van de put. Arme kalfjes ….
OV chipkaart definitief gehacked
Wat TNO vorige week nog voor onmogelijk hield maar waar experts het al over eens waren is nu werkelijkheid: De OV chipkaart is definitief gehacked door Duitse experts. De huidige technologie van de OV-chipkaart is daarmee definitief afgeschreven en ongeschikt om ingezet te worden voor toepassingen die enige vorm van bescherming van de gegevens vereisen. Maar wat ik het meest interesante aan de hele sage blijf vinden is dat iedereen maar TNO vervolg opdrachten blijft geven terwijl dit instituut, om wat voor reden dan ook, keer op keer volkomen de plank misslaat.
Is TNO het soort advies club die altijd opschrijft wat de klant vraagt? Hoe incorrect en onrealistisch ook? En als dat zo is, zijn zij dan de ‘expert’ organisatie die we onderzoek willen laten doen naar cruciale zaken als de privacy van OV-chipkaarten en de intergiteit van stemcomputers? 
Als de overheid gewoon een geruststellend rapport wil kunnen we ook aan een secretaresse vragen een mooi plaatje van het Interwep uit te printen met de tekst ‘gaat u maar rustig slapen’. Da’s veel goedkoper dan het inhuren van een groot adviesbureau en kennelijk net zo valide. Ik denk dat je van een overheidsadviseur de integriteit (en het verstand) mag verwachten om tegen hun klant te zeggen: "wat u vraagt is technisch niet haalbaar en niet in lijn met de letter en geest van Nederlandse wetgeving, binnen de door u gestelde de kaders kunnen wij de opdracht niet uitvoeren".
Dat de overheid (regering en parlement!) toestaat dat aantoonbaar niet-competente organisaties de toon blijven zetten in dergelijke debatten is nog het meest zorgelijk. Het wachten is gewoon op de volgende spectaculaire mislukking (rekeningrijden?) door slecht ontwerp, slecht advies, slecht opdrachtgeverschap maar vooral, slecht toezicht van regering en parlement. Zie ook mijn eerdere blogpost over dit onderwerp. 
In een reactie op vragen van de SP zegt TLS (de leverancier van de kaart) het volgende:
TLS benadrukt dat reizigers geen risico lopen op financiële schade. De bedrijven in het openbaar vervoer kunnen wel de dupe worden als criminelen erin slagen om de kaart op grote schaal na te maken. Het is onduidelijk of zo’n scenario op korte termijn dreigt.
Da’s natuurlijk fijn maar gaat voorbij aan het feit dat schade aan vervoersbedrijven op een of andere manier natuurlijk altijd terug komen bij de klant en/of burger. Veel van deze bedrijven zijn immers in (mede)bezit van lokale overheden. Morgen is er in de Tweedekamer een overleg over dit onderwerp. De experts (zij die het vanaf dag 1 bij het rechte eind hadden) die hier voor waren uitgenodigd boycotten deze meeting omdat ze geen toegang kregen tot de ‘geheime’ paragraaf van het meest recente TNO rapport. In mijn optiek heel verstandig om niet nog meer ‘security-by-obscurity‘ denken te legitimeren.
Microsoft en verwarring
Mijn nieuwe Livre column is een reactie op een bijdragen van Bart Wessels van Microsoft:
Bart Wessels schreef op persoonlijke titel een stuk over de ‘verwarring’ die er volgens hem en zijn werkgever bestaat bij de overheid. Medewerkers van Microsoft die de overheid de les lezen over standaardisatiebeleid is zo ongeveer hetzelfde als Willem Holleeder die vanuit zijn cel een column schrijft waarin hij oproept tot een meer ethische benadering van vastgoedonderhandelingen. Zo’n stukje is wellicht leuk om te lezen, maar door de voorgeschiedenis van de auteur niet heel geloofwaardig.
Maar als ik er vanuit ga dat Bart écht gelooft wat hij schrijft, is het wel een leerzaam doorkijkje in de belevingswereld van Microsoft-medewerkers. Wellicht luistert hij iets te veel naar interne evangelisten en te weinig naar (ex)klanten.
Hier een voorbeeld:
Dat is één manier om er naar te kijken. Een ander manier is deze:
‘In mei 2004 werd Microsoft wederom in hoger beroep schuldig bevonden aan planmatige en grootschalige economische misdrijven door Europese rechters. Eerder had een Amerikaanse Federale rechter het bedrijf veroordeeld vanwege vergelijkbare misdrijven. Als onderdeel van de strafmaat werd Microsoft verplicht een aantal formaten en protocollen te openen zodat marktwerking herstelt zou kunnen worden. In februari 2008 werd Microsoft veroordeeld tot een derde boete van historische hoogte wegens het niet nakomen van deze eerdere verplichtingen.’
Krijg je toch een ander gevoel bij. Ik wel in ieder geval.Microsoft heeft een groot probleem: bijna niemand vertrouwt Microsoft nog. En waarom zouden we ook? Eén van de zaken die veel Kamerleden zo enthousiast maakten voor het actieplan (PDF) was Microsofts oppositie ertegen. Ik citeer Martijn van Dam (PvdA): ‘Als Microsoft er zo boos over wordt het wel een goed plan moet zijn!’
En wij maar denken dat Microsoft dat deed om haar klanten beter van dienst te zijn. Oké. Nee. Dat geloofde niemand. Maar het is leuk om datgene wat algemeen aangenomen werd, nu ook uit de mond van een Microsoft-medewerker te horen. Als je als overheidsklant écht iets wil van Microsoft, dan moet je ze beboeten met 900 miljoen euro of je moet dreigen nooit meer hun spullen te kopen. Op gewone, redelijke, verzoeken tot interoperabiliteit wordt namelijk geen gehoor gegeven.
Het eerste is het primaire doel, het tweede is geen direct doel. Wel is het de bedoeling een situatie te creëren waarin de overheid voor haar functioneren niet langer afhankelijk is Microsofts producten af te nemen. In december 2004 (PDF) gaf zelfs minister Donner (een digibeet) al aan dat ‘de overheid te afhankelijk is van feitelijke monopolisten’ en dat dit moest worden aangepakt. Iets waar de Tweede Kamer in 2002 al om had gevraagd. Dus niet een kwestie van ‘we willen jullie producten niet kopen’ als wel ‘we willen het recht jullie producten niet te hoeven kopen’. Een subtiel, maar belangrijk verschil dat Microsoft niet lijkt te kunnen of wíl snappen.
Dit is het toontje waar mensen razend over worden. De toon van een verwend kind dat jarenlang alle slagroomtaartjes op het feestje mocht eten en dat nu te horen heeft gekregen dat andere kinderen ook wel eens een taartje willen. Krijsend ligt het op z’n rug op de grond te spartelen. ‘Ik wil mijn taartjes! Ik wil, ik wil, ik wil!’.
Jarenlang heeft Microsoft zeer bewust immer veranderende gesloten (proprietary) standaarden gebruikt om het concurrenten zo moeilijk mogelijk te maken en hun klanten gevangen te houden in een permanente upgrade-tredmolen. Een van Bart’s collega’s zei dit treffend:
Nu zijn veel van die klanten boos. Erg boos. Mensen die boos op je zijn op een dergelijk toontje aanspreken, terwijl je nog niet eens je excuses hebt aangeboden voor de reden van hun boosheid, schept geen basis om samen verder te gaan.
Als Microsoft de relatie met haar klanten wil herstellen, en ons vertrouwen weer wil krijgen als partner om technologie mee te bouwen, reikt onze calvinistische traditie een probaat 5-stappen plan aan:
- Voor zichzelf erkennen dat het misstappen heeft begaan;
- Oprecht berouw tonen naar de samenleving voor begane misstappen;
- Zonder morren accepteren dat de samenleving een straf eist vanwege die misstappen;
- Na het vervullen van die straf in alle nederigheid vergiffenis vragen;
- Hopen dat er dan een nieuwe kans gegeven wordt.
Gezien de inhoud van het artikel van Bart Wessels is zelfs de eerste stap nog ver weg bij Microsoft en haar medewerkers. Ik wens ze veel succes met de rest van het proces.
McCain wint! Stemcomputers lekken per ongeluk uitslag
Het is toch wat met die stemcomputers, nu lekken ze weer de uitslag van de Amerikaanse presidentsverkiezingen van dit najaar. Op die manier is het volgen van zo’n TV-show natuurlijk helemaal niet leuk meer. Het is triest gesteld met de wereld als we niet eens meer kunnen vertrouwen op een goed georganiseerde fake-verkiezing.
Het pijnlijke van de parodiesite the Onion is hoe dicht bij de werkelijkheid hun berichten zijn. Iedereen die zicht bezighoudt met onderzoek naar stemcomputers weet dat ze volkomen ongeschikt zijn om op een tranparante en integere manier een verkiezing mee te organiseren. In steeds meer landen (of gedeelten ervan) worden ze dan ook afgeschaft. Maar ondanks de sterke indicaties van stemfraude in de verkiezingen van 2000, 2004, 2006 en in de voorverkiezingen van de afgelopen maanden houden bedrijven als Diebold het nog droog.
Gelukkig mogen we in Nederland na een kleine 2 decennia gewoon weer op papier stemmen. Of we die moeite ook nemen is een heel andere vraag.
OV chipkaart. Niets geleerd, gewoon doorgaan
Volgens IT en andere media gaat de Staatssecretaris onder de vlag van een aanvalsplan door met de OV chipkaart. Dit ondanks de zorgen van diverse experts. De instelling die vorig jaar nog riep dat het prima zat met die kaart (TNO) heeft het nu nog een keer onderzocht en zegt eigelijk nog steeds dat het prima zit. Hoewel hun rapport start met een uitgebreide beschrijving van wat ze niet hebben onderzocht. Ook wekt de filenaam "TNO_ICT_-_Security_Analysis_OV-Chipkaart_-_public_report.pdf" de suggestie dat er ook nog een niet publieke versie is. Wat zou daar in staan?
Eerder vond TNO ook al dat er geen problemen waren met inmiddels verboden de stemcomputers. Geeft mij als burger niet echt veel vertrouwen. Verder neemt Translink een aantal maatregelen, die ze geheim wil houden "uit veiligheidsoverweging". Ook Translink heeft dus nog steeds niet begrepen dat security by obscurity niet werkt, iets dat al meer dan 125 jaar bekend is. Maar goed, volgend jaar dus gratis openbaar vervoer. Op zich best fijn. de oorspronkelijke CCC presentatie in Berlijn (video).
De Spanjaarden doen het beter!
Nederland praat erover (en da’s fijn!) maar de Spanjaarden doen het. Je krijgt bijna spijt dat ze hier niet meer de baas zijn. Dit filmpje legt in 8 minuten uit hoe je een achterstand in een voorsprong kan omzetten door een paar eenvoudige beleidsmaatregelen. Extremadura geeft per hoofd van de bevolking niet meer uit aan IT dan Nederlandse provincies. Ze geven het alleen anders uit. Op school leert de jeugd van Extremadura iets over computers in het algemeen. Duurzame kennis die lang na het behalen van hun diploma nuttig blijft. Dit in tegenstelling tot hun Nederlandse leeftijdsgenoten die vooral leren hoe je bepaalde producten gebruikt die waarschijnlijk irrelevant zijn tegen de tijd dat ze afstuderen. De ziekenhuizen in de regio delen met hoge betrouwbaarheid en op een veilige manier electronische patienten-data. Iets waar in Nederland, ondanks miljoenen investeringen alleen van kunnen dromen. Waren wij maar zo arm dat we dergelijke maatregelen namen …. Met dank aan Ruud Steltenpool voor het mailen!