Naar de content

Digitaal zakkenrollen met contactloos betalen

Nieuwe betaalmethode onder de loep van beveiligingsexperts

ING Nederland via CC BY-SA 2.0

Via contactloos betalen kun je met een pinpas tot vijentwintig euro in een keer afrekenen door deze dicht in de buurt van de betaalautomaat te houden. Zonder pincode. Handig, maar is het veilig? Kennislink vraagt het een veiligheidsexpert van de Radboud Universiteit Nijmegen.

Misschien maakte je het in de afgelopen maanden al mee. Je komt bij de kassa om iets af te rekenen en terwijl je de pinpas in de automaat wil steken zegt de winkelier dat een tik tegen de betaalautomaat volstaat.

Contactloos betalen.

 ING Nederland via CC BY-SA 2.0

Sinds een jaar zijn vrijwel alle grote Nederlandse banken bezig met het uitrollen van een nieuwe betaalmethode, het zogenoemde contactloos betalen. Via een chip die vergelijkbaar is met die in de OV-chipkaart communiceert de pinpas draadloos met de betaalautomaat. Deze staat in verbinding met de bank en handelt de betaling binnen enkele seconden af.

De nieuwe methode verschilt met pinnen doordat de chip geen direct contact meer maakt met de automaat. Verder is er voor het afrekenen geen pincode nodig voor bedragen tot vijfentwintig euro. En als je een totaalbedrag van vijftig euro bereikt vraagt de terminal altijd een pincode. Wat dat betreft lijkt contactloos betalen meer op de chipknip die dit jaar na bijna twintig jaar werd afgeschaft. Maar ook het opladen, zoals bij chippen, is niet meer nodig.

Draadloos betalen zónder pincode lijkt fraudegevoelig. Wordt zakkenrollen nu zo makkelijk als met een mobiele betaalautomaat ongemerkt langs alle broekzakken in een winkel lopen?

Hoe het werkt

De nieuwe pinpassen communiceren via de techniek radio-frequency identification (RFID) en bevatten een kleine chip die in staat is informatie te ontvangen en verzenden, opslaan én te verwerken. Die chip is enkele millimeters groot en kan tientallen kilobytes aan data opslaan.

Een contactloze betaling begint bij een betaalterminal (bijvoorbeeld de kassa in een winkel) die wil controleren of de bank een betaling toestaat. De terminal maakt via RFID draadloos contact met de chip in de pas en stuurt er een hoeveelheid data heen. Daarin zit zowel informatie over de transactie, zoals het bedrag, maar ook een willekeurig getal.

Betalen aan de kassa.

 Stilfehler

Het is nu aan de chip in de pas om deze data te versleutelen. Dat doet hij met een geheime en voor deze pas unieke sleutel. De versleutelde data wordt vervolgens teruggestuurd naar de terminal. Die speelt dit door naar de bank. Die controleert of de versleuteling (en dus de unieke sleutel van de chip) klopt. Is dat het geval dan geeft de bank het seintje OK en vindt de betaling plaats.

Oude technieken in een nieuwe jas

In feite maakt het contactloos betalen gebruik van bestaande technieken. Zo wordt de gebruikte EMV-chip (EMV staat voor Europay, MasterCard en Visa) al jaren ingezet in betaalpassen, in eerste instantie voor chips met een contactoppervlak (zie afbeelding).

“De beveiliging van deze chip is vergelijkbaar met de pinpassen die we tot nu gebruikten”, zegt Erik Poll, universitair hoofddocent van de afdeling Digital Security van de Radboud Universiteit. “Dergelijke protocollen worden al dertig jaar gebruikt en zijn nog steeds veilig.”

En ook de communicatie met de chip is niet nieuw. Die is weer vergelijkbaar met OV-chip, en juist die chip was veelvuldig in het nieuws omdat hij niet veilig zou zijn. Maar ook hier stelt Poll gerust. “De cryptografie van de OV-chipkaart is inderdaad gekraakt. Maar dat geldt niet voor de zwaardere versleuteling van contactloos betalen.”

Pijlen op de nieuwe kaart

Ondanks dat Poll zegt dat de communicatie- en het verwerkingsprincipe van contactloos betalen veilig is, laat hij weten dat er gaten in het systeem zitten. En natuurlijk heeft hij daar als beveiligingsexpert zijn pijlen op gericht.

Een zwakheid zit hem in het feit dat bij contactloos betalen de betaalkaart de portemonnee niet meer hoeft te verlaten. In principe kan hij stiekem geactiveerd worden in je broekzak. Dat is aangetoond, door wetenschappers in het buitenland en door het team van Poll.

Hij heeft het over een zogenoemde relay attack, oftewel een estafette-aanval. Deze wordt met twee moderne telefoons uitgevoerd, die vaak zijn uitgerust met near field communication (NFC). Hiermee kunnen ze communiceren met betaalterminals óf de EMV-chips in kaarten.

Poll legt uit: “Als je ervoor zorgt dat deze twee telefoons met elkaar in verbinding staan, dan kunnen ze dus een brug vormen tussen een (legitieme) betaalterminal en de betaalpas in de broekzak van een nietsvermoedende passant.”

Relay-aanval

Doordat de terminal in principe niets merkt van het doorgeven van informatie van en naar de betaalpas lijkt alles in orde voor de bank aan de andere kant van lijn. “Het enige wat je nodig hebt is twee dieven met een goede timing”, zegt Pollen. “In de praktijk hoeft die timing niet eens vlekkeloos te zijn omdat er in tegenstelling tot bijvoorbeeld de OV-chipkaart een vrij ruime time-out is ingesteld vanwege het zwaardere cryptografische protocol.”

Een student die bij Poll afstudeerde testte zo’n relay-aanval met telefoons en die slaagde. “Ik denk zelfs dat het een kwestie van tijd is voordat er een RFID-doorsluis-app verschijnt,” zegt Poll,” dat zal ongetwijfeld breed in het nieuws worden uitgemeten.”

Want natuurlijk is het vervelend als je nietsvermoedend iets afrekent voor een ander. Toch denkt Poll dat dit uiteindelijk niet heel aantrekkelijk is voor dieven. “Het is vrij bewerkelijk, je loopt kans aan ‘beide kanten’ tegen de lamp te lopen, zowel bij de winkelier als bij de betaler. Bovendien ben je genoodzaakt je buit binnen te halen als producten die je ergens koopt, tot maximaal 25 euro.”

Een sfeerbeeld van de Damstraat in Amsterdam.

Op straat zijn we straks allemaal te zakkenrollen als de dieven een betaalterminal voor contactloos betalen weten te ‘kapen’.

 Moyan_Brenn

Een echte businesscase voor criminelen is er pas, als er een winkel in het complot zit. Niet iedereen kan namelijk over een betaalterminal beschikken. “Hebben de dieven volledige controle over zo’n terminal, ja, dan kun je in principe op straat iedereen digitaal zakkenrollen. Dat wordt interessant voor oplichters”, zegt Poll. “Maar dat geld komt natuurlijk op een rekening terecht en is te traceren. De ‘winkelier’ is dan de klos en wordt opgepakt. Dit scenario vormt een risico, maar is niet te voorkomen met een technische beveiliging. Het is een ‘mensenbeveiliging’.”

Chipkaart opvoeren

Volgens Poll bestaan er misverstanden over de afstand waarop een terminal via RFID met een chip in een kaart kan communiceren. “Sommigen zeggen dat het over een meter afstand lukt, maar dat is onzin”, zegt Poll. “De beste afstand uit de wetenschappelijke literatuur is zevenentwintig centimeter. Wij zijn zelf aan de slag gegaan met een opgevoerde antenne en kwamen op bijna veertig centimeter uit. Daar hadden we overigens twee enorme versterkers voor nodig. Niet bepaald onopvallend wanneer je daarmee stiekem kaarten zou willen activeren.”

Overigens heeft het ‘meeluisteren’ naar de communicatie tussen de terminal en de kaart weinig zin. Aan iedere betaling hangt een unieke code die de chip in de kaart met zijn sleutel codeert. Die versleuteling moet live gebeuren en de communicatie op een later moment simpelweg herhalen is niet voldoende om het systeem te foppen.

Net zo (on)veilig als contact geld

OK, er zijn dus manieren om de boel te flessen. Waarom wagen banken zich überhaupt aan een nieuw betaalsysteem? Volgens Poll geven banken sowieso de voorkeur aan digitaal betalen, omdat de infrastructuur daarvoor goedkoper is. Voor contant geld zijn onder andere geldautomaten en geldtransporten nodig.

Daarbij is contactloos nog net iets handiger dan het ‘klassieke’ pinnen, en zelfs sneller dan de afgeschafte Chipknip. “Ik zie in ieder geval voordelen”, zegt Poll. “In bedrijfskantines ontstaan nu vaak rijen bij de kassa. Bij de Chipknip kon het voorkomen dat er niet genoeg geld op stond en dat degene moesten gaan pinnen, wat nog meer tijd kost.”

Geld blijkt een bepalende drijfveer te zijn voor GM-voedsel.

 reynermedia via CC BY 2.0

Verder is het contactloos betalen een veel internationaler geaccepteerd betaalmiddel. Poll: “De Chipknip was duidelijk een nationaal initiatief, dat buiten Nederland niet bestond. Contactloos betalen bestaat bijvoorbeeld in het Verenigd Koninkrijk en is momenteel het grootst in Polen. Waarom weet ik trouwens niet, misschien omdat zij relatief laat zijn begonnen met betalen per kaart.”

Zelf gebruikt Poll het contactloos betalen nog niet, maar is dat wel van plan. “Grootste risico is het pasje kwijtraken en je bent dan maximaal vijftig euro kwijt”, zegt hij. “Het is daarmee eigenlijk niet onveiliger dan een briefje van vijftig euro in je portemonnee hebben. Bovendien vermoed ik dat de banken in het begin coulant zullen zijn met het vergoeden van eventuele schade.”

ReactiesReageer