OV-chipkaartsysteem

Het OV-chipkaartsysteem omvat het complete systeem dat zorgt voor het functioneren van het landelijke vervoerbewijs, de OV-chipkaart. Samen met de OV-bedrijven zorgt Trans Link Systems voor een werkend geheel. Het systeem bestaat uit allerlei systeemonderdelen en OV-chipkaarten, die op een bepaalde manier met elkaar samenhangen. Alleen zo kan een reiziger drempelloos tussen OV-bedrijven reizen. Voor dit geheel is er een centraal verwerkingssysteem dat in staat is om miljarden transacties op een correcte en betrouwbare manier te verwerken.

Systeem

Bij het invoeren van de OV-chipkaart is gekozen voor een bestaand systeem (Oyster card) en niet voor een systeem dat vanaf de grond opgebouwd moest worden. Het systeem is wel aangepast aan de Nederlandse situatie.

Bij problemen met de OV-chipkaart moet men zich niet wenden tot de OV-chipkaartorganisatie maar de vervoerder.

De reisorganisaties en Trans Link System verstrekken in algemene termen informatie over de werking en systematiek van het OV-chip systeem. Voor bijzondere gevallen dient de reiziger door ervaring of informatie-uitwisseling achter de precieze werking te komen. De ontwerpspecificaties (van bijvoorbeeld de interface tussen de gebruiker en het systeem) zijn niet openbaar beschikbaar.

Levels

Zichtbaar voor reizigers en achter de schermen bestaat het nationale betaalsysteem in Nederland uit de volgende levels (0 t/m 4), te weten:

0. De OV-chipkaart

1. Apparatuur op reizigersniveau zoals

• Verkoopautomaten
• Oplaadautomaten
• Saldolezers
• Kaartlezers in het voertuig
• Poortjes met geïntegreerde kaartlezer
• Losstaande palen met geïntegreerde kaartlezer.
• Mobiele controleapparaten voor controleurs.
  

2. Lokale systemen

De data die de apparaten in level 1 ontvangen, worden opgeslagen in plaatselijke systemen in stations, garages en remises, voordat deze worden doorgegeven aan level 3.

3. Centraal systeem OV-bedrijf

Ieder OV-bedrijf heeft één centraal systeem dat alle registratie- en transactiedata doorgeeft aan het centrale verwerkingssysteem (level 4). Vervolgens krijgt dit systeem de bewerkte data van het centrale verwerkingssysteem terug. Het centrale systeem van het OV-bedrijf kan ook in verbinding staan met andere systemen binnen het bedrijf, zoals financiën, planning van materieel en het beheer van klantrelaties.

4. Centrale TLS

Het centrale systeem van het OV-bedrijf stuurt alle data door naar een centraal systeem. Op basis van deze gegevens verzorgt het centrale verwerkingssysteem bijvoorbeeld betalingen tussen verschillende OV-bedrijven. Daarnaast beheert het systeem het automatisch opladen van OV-chipkaarten en verzorgt het de registratie van en communicatie over ongeldige kaarten. Om dit laatste te kunnen doen worden alle OV-chipkaarten die in het elektronische systeem worden gebruikt, voorzien van een unieke code.

Vervoerbedrijf

Het vervoerbedrijf is de hoofdrolspeler in het OV-chipkaartsysteem. Het is verantwoordelijk voor:

• De implementatie en installatie van het OV-chipkaartsysteem op zijn lijnen, met de bijhorende informatievoorziening naar de reizigers.
• De goede werking van de eigen OV-chipkaartapparatuur en het behandelen van de reizigersklachten
• De OV-chipkaarttransactiegegevens verwerken en doorsluizen naar TFL. De financiële afwerking, de boekhouding en rapportage aan de vervoersautoriteit. Een grondige analyse van de reisgegevens en statistieken zullen later uitgevoerd worden om de bedrijfsvoering bij te sturen. De eerste prioriteit is nu om het systeem goed werkend te krijgen. Er vindt geen koppeling plaats met de persoonsgegevens. Benadering voor informatie en marketingacties door het bedrijf gebeurt alleen als de reiziger daar bij de aanvraag van de OV-chipkaart toestemming voor heeft gegeven.
• De verkoop en promotie van de eigen reisproducten. Voor het opladen van het saldo treden zij alleen als tussenpersoon op. Het geld gaat naar de centrale kas van TFL. Bij het op saldo reizen op hun lijnen wordt geld gedeclareerd bij de TLS.

Bij abonnementen op de OV-chipkaart, met het nultarief (vrij reizen) die geldig zijn voor meerdere vervoersbedrijven, wordt het gebruik geregistreerd, via het verplicht in- en uitchecken. Hiermee kan het vervoersbedrijf geld claimen. Daarom zal het bedrijf de abonnementhouders controleren of zij ingecheckt hebben en indien niet, boetes uitdelen.

Productfamilies

De ondersteunde productfamilies worden aangeduid als Easy Trip, Single Journey, Multi-Ride, Period Pass, Period Right-To-Travel en Supplement.

Single Journey is de technische mogelijkheid om een enkele reis voor een bepaald traject als reisproduct te laden. Zulke producten worden echter in Nederland niet meer aangeboden. Wel heeft NS in het verleden tijdelijk dit soort producten aangeboden tijdens de proef met de OV-chipkaart op de Hoekse Lijn. Uiteraard kon tijdens deze proef bij het laden van dit product enkel worden gekozen uit de tien stations langs deze lijn als vertrek- en bestemmingsstation.

Easy Trip is het systeem waarbij het basistarief maar één keer verschuldigd is, zie basistarief.

Apparatuur

In het voertuig is er een centrale processor die de in/uitcheck apparatuur beheert. Het voertuig heeft geen permanente dataverbinding met het vervoersbedrijf. Pas in de remise worden de ov-chiptransacties doorgestuurd naar de bedrijfscentrale.

Bij het begin van de rit worden lijnnummer en route ingesteld. Met deze instelling zijn de haltes en de tussenliggende afstanden voor de route bekend. Bij het eindpunt wordt nadat de laatste reiziger is uitgestapt, de rit afgesloten en wordt een nieuwe rit begonnen met een nieuw ritnummer.

Controleur

Volgens de voorwaarden kan NS niet alleen voor en na, maar ook tijdens de reis reisgegevens vastleggen om het rechtmatige gebruik van producten te controleren. Dit kan bij controle in het voertuig door een conducteur enz. Na dit "aanmaken van een transactie bij controle aan boord" kan achteraf bijvoorbeeld gesignaleerd worden dat een reiziger het inchecken vooraf met eigen apparatuur en software gesimuleerd heeft ("thuis inchecken", zie ook onder). De kaart wordt dan geregistreerd als geblokkeerd. Ook als deze blokkade-registratie nog niet op de kaart zelf staat kan deze bij een volgende controle geconstateerd worden nadat de blokkade-registratie gedistribueerd is naar de controleapparatuur.

Techniek OV-chipkaart

Bestand:Inside of RFID chip.jpg

RFID-chip in de OV-chipkaart

De OV-chipkaart werkt contactloos en gebruikt de MIFARE ultralight (voor de wegwerpchipkaart) en MIFARE classic (voor de anonieme en persoonsgebonden kaart). De fraudegevoelige MIFARE classic wordt sinds 2011 langzaam vervangen door de Infineon SLE-66. De reiziger houdt de kaart binnen 10 cm van de automaat. Dit kan met portemonnee en al, mits er niet ook nog een andere OV-chipkaart in zit. Dit moet bij het instappen of betreden van het perron of tram/bus (inchecken) en nogmaals bij het uitstappen of verlaten van het perron of tram/bus (uitchecken).

De kaart is een geheugenkaart waarin de gegevens voor de werking van het OV-chipkaartsysteem opgeslagen worden. Het enige actieve onderdeel is de beveiligingsmodule. Deze controleert door een uitwisseling van codes en gegevens of de leesapparatuur wel gecertificeerd is. De kaart geeft daarna een signaal af waaruit blijkt dat het een geldige OV-chipkaart is. Dit wordt in een fractie van een seconde uitgevoerd en de nodige elektrische stroom wordt door inductie geleverd.

Het geheugengebied is opgesplitst in delen:

• Identificatiegegevens van de kaart: 14-cijferig kaartnummer, geldigheidsperiode en uitgevend bedrijf. Blokkering J/N. Bij persoonlijke kaarten komt nog de geboortedatum erbij. Er zijn geen andere persoonsgegevens opgeslagen.
• Het saldo, de laatste tien reistransacties (check-in en check-uit; normaal gesproken beide van vijf ritten, of de oudste check-uit, van vier ritten de check-in en -uit, en de nieuwste check-in) en de laatste twee oplaadtransacties (saldo of product laden, automatisch opladen). Per reistransactie zijn opgeslagen het tijdstip van de transactie, het soort transactie, het bedrag van de transactie, de code van de apparatuur die de transactie heeft uitgevoerd (bij een voertuig het voertuignummer), de halte- of stationcode, het lijnnummer en ritnummer bij het voertuig, en het vervoersbedrijf. De oudste transactie wordt steeds overschreven door de nieuwste. Het saldo, en per transactie het soort en het bedrag, de datum, de tijd en het eventuele voertuignummer zijn bij automaten van alle bedrijven te lezen, maar het vervoerbedrijf en bijvoorbeeld de halte- of stationscode niet (laat staan de halte- of stationsnaam).
• Reisproducten: Ieder vervoersbedrijf kan een eigen geheugengebied op de kaart claimen om er reisproductgegevens te plaatsen. Dit product is niet toegankelijk voor de andere bedrijven en het vervoersbedrijf kan zelf bepalen hoe die gegevens worden ingericht. De NS kan zijn NS-Voordeelurenabonnement erin zetten, trajectkaarten, de code voor eerste of tweede klas enzovoort. Alleen NS-apparatuur kan deze gegevens lezen en bewerken. Is er geen geldig product voor de reis aanwezig, dan wordt het saldobedrag aangesproken.
• Het gegeven "automatisch opladen", en het bedrag dat bij een laag saldo wordt opgeladen.

De gegevens op de kaart zijn voor wat betreft transacties die met de kaart zijn uitgevoerd volledig up-to-date, terwijl die in de centrale database vertraagd worden bijgewerkt (dit duurt vaak één tot anderhalve dag, zie ook onder). Ook bij controle en bij uitchecken wordt voornamelijk gebruik gemaakt van de gegevens op de kaart zelf. Voor wat betreft het raadplegen van eerdere transactiegegevens bij een automaat geldt wel, zoals gezegd, de beperking dat de oudste gegevens steeds van de kaart worden gewist, en dat per transactie de volledige informatie alleen te raadplegen is bij een automaat van de betrokken vervoerder.

Er zijn ook transacties waarbij de gegevens eerst alleen in de database staan en pas later op de kaart komen, zoals het bij het bestellen van een product via internet, het opladen van het saldo via internet, en het blokkeren van de kaart wegens fraude. Bij een kaartlezer kan het blokkadegegeven op de kaart worden aangebracht; bij een automaat kan men op basis van gegevens uit de database (door de automaat live geraadpleegd of periodiek gedownload naar de automaat) de bestelde producten en het klaarstaande oplaadsaldo ophalen, d.w.z. de kaart op deze punten bijwerken. Het systeem van bestellen op internet en vervolgens ophalen bij een automaat heet NAL (National Action List).

Bij sommige reisproducten worden niet alle gegevens op de kaart opgeslagen. Zo bevindt de uiterste geldigheidsdatum van een voordeelurenabonnement zich in een centrale database. Het is daardoor mogelijk de geldigheid met een jaar te verlengen zonder dat de reiziger de kaart hoeft af te staan. De treinconducteur heeft verbinding met de database of gedownloade data uit de database om de geldigheid te kunnen controleren.

Privacy en veiligheid

Bij alle typen OV-chipkaart worden de transactiegegevens door TLS vastgelegd en bij de persoonlijke kaarten ook persoonsgegevens, wat onder meer nodig is voor verrekening tussen de ov-bedrijven (behalve bij wegwerpkaarten), om kaartsaldo's niet alleen op de kaarten maar ook centraal bij te houden, en om de reiziger transactieoverzichten te kunnen bieden. De reistransacties worden gescheiden verwerkt van de persoonsgegevens van de reiziger, zodat niet direct inzichtelijk wordt waar iemand gereisd heeft. Ook kunnen alleen geautoriseerde medewerkers onder strikte voorwaarden bij de gegevens.

Gegevens op de OV-chipkaart

Door opslag van transacties op de chip heeft de reiziger de mogelijkheid om bij balie, automaat of conducteur na te gaan wat de laatste transacties zijn geweest, vergelijkbaar met vastgelegde transacties op de chipknip van bankkaarten. Een conducteur zou bij de controle ook reistransacties van eerdere reizen en oplaadtransacties kunnen inzien zonder dat de reiziger het merkt, maar voorschrift is dat medewerkers van ov-bedrijven dit alleen doen op verzoek van de reiziger.

De ov-sector en privacy

Koninklijk Nederlands Vervoer (KNV) heeft met de ov-bedrijven een Gedragscode verwerking persoonsgegevens OV-chipkaart door ov-bedrijven. In de Gedragscode wordt beschreven op welke wijze de ov-bedrijven omgaan met persoonsgegevens in hun verschillende bedrijfsprocessen. Na onderhandelingen met het College Bescherming Persoonsgegevens is tussen de ov-sector en CBP overeengekomen dat een beperkt aantal afgeleide reisgegevens door de ov-bedrijven gebruikt kan worden voor marketing ten behoeve van reizigersgroei en reizigersspreiding.

Door middel van deze afgeleide reisgegevens, namelijk reisfrequentie, tijdsduur die is verstreken na de laatste reis, binnen/buiten spits reizen, voorkeurstrajecten en voorkeursstations, krijgen bedrijven voldoende gegevens in handen die gebruikt kunnen worden voor service- en dienstverlening aan de klant, bijvoorbeeld over wijzigingen op stations en trajecten. Reizigers hebben te allen tijde het recht aan te geven hier geen prijs op te stellen (opt-out). Het CBP concludeerde dat het bedrijfseconomische belang en de Wet bescherming persoonsgegevens op harmonieuze wijze hier met elkaar in evenwicht zijn (bron: brief van CBP aan Staatssecretaris Huizinga-Heringa, 6 november 2008). Voor gebruik van gedetailleerde reisgegevens is vooraf toestemming van de klant nodig (opt-in).

Fraudebestendigheid

De beveiliging van de OV-chipkaart is reeds in 2008 gekraakt. In januari 2011 is programmatuur verschenen waardoor het manipuleren van de gegevens op de kaart ook zonder technische kennis mogelijk is. Sinds augustus 2011 zit er in nieuwe chipkaarten een nieuwe chip, de Infineon SLE-66. Deze moet het kraken en zwartrijden moeilijker maken. Deze chip is echter ook al gekraakt in 2010, dit zou echter een stuk lastiger zijn dan het kraken van de oude chip.

Ophef ontstond over de fraudebestendigheid van de OV-chipkaart doordat verschillende specialisten op het gebied van computerbeveiliging verscheidene malen aantoonden dat de beveiliging van de gebruikte chip in de OV-chipkaart, de MIFARE Classic, gekraakt is. Dit betekent dat de MIFARE-kaart gekopieerd en/of gemanipuleerd kan worden. Hierdoor is het onder andere mogelijkheid dat kwaadwillenden de chipkaart van een reiziger ongemerkt kopiëren en vervolgens reizen op de gekopieerde kaart. Daarnaast kan bijvoorbeeld het saldo op de kaart worden verhoogd zonder daar aan de bevoegde instanties voor te betalen, zodat kwaadwillenden vrij kunnen reizen of de kaart kunnen verkopen aan een helende of naïeve reiziger. Volgens Trans Link Systems is dit echter niet mogelijk zonder dat dit opvalt in het computersysteem. De kaartgegevens moeten immers corresponderen met de dubbele boekhouding van de kaarten bij Trans Link Systems. Gemanipuleerde of gedupliceerde kaarten komen volgens Trans Link Systems na detectie op de zwarte lijst en gedupeerden worden schadeloos gesteld (vervanging van de kaart en saldo). Daarmee is de schade voor de vervoerder en beperkt deze zich tot het moment tussen kaartmanipulatie en detectie. Volgens Trans Link Systems maakt dit, gecombineerd met de hoge pakkans door camerabewaking en de geringe waarde van het kopiëren van een vervoersbewijs, het kopiëren of manipuleren van de OV-chipkaart voor kwaadwillenden oninteressant. In Londen, waar het soortgelijke systeem al jaren gebruik maakt van dezelfde MIFARE-chip, is van fraude dan ook geen sprake. Criminelen lijken zich eerder te richten op andere, lucratiever skimmingmethoden, zoals de magneetstrip van de bankpas. Volgens de vervoerders zullen zij het systeem migreren naar een andere chip, wanneer kosten van eventuele fraude dit noodzakelijk maken. Voor verwante producten, zoals toegangspassen voor kantoren die met de MIFARE-chip zijn gemaakt, vormt de hack ook een probleem omdat het mogelijk is met een gekopieerde kaart in een beveiligde omgeving te komen. De rijksoverheid heeft met dit in het achterhoofd besloten de chip versneld uit te faseren.

In januari 2011 verscheen Windows-programmatuur op internet die, in combinatie met een kaartlezer, de mogelijkheid biedt de informatie op de OV-chipkaart te manipuleren. In diverse televisieprogramma's werd hieraan aandacht besteed. Minister Schultz van Haegen gaf in de Tweede Kamer aan dat de productie van een beter beveiligde chipkaart aan het eind van 2011 zou kunnen beginnen.

Onderzoeksjournalist Brenno de Winter slaagde er in januari 2011 in, diverse ritten te maken op gemanipuleerde kaarten, zonder dat dit gedetecteerd werd, noch door controleurs ter plaatse, noch door de backoffice van Trans Link Systems. De Winter onderzoekt de chipkaart sinds 2007 en heeft zich enkele malen kritisch uitgelaten over de privacygevoeligheid ervan en de vertraging en kostenoverschrijding bij de invoering. In de zomer van 2011 startte het Openbaar Ministerie een strafrechtelijk onderzoek naar de door De Winter gepleegde fraude. De journalist beroept zich op het maatschappelijk belang, dat gediend is met het aantonen van lekken in de beveiliging van de OV-chipkaart. Of het tot een rechtszaak zal komen, is nog niet bekend. Wegens het principiële karakter trok deze zaak zelfs internationaal de aandacht,

In juli 2011 kwam een grootschalige fraude aan het licht met gemanipuleerde OV-chipkaarten die werden aangeboden via Internet. Op deze anonieme kaarten was via manipulatie 150 euro saldo geplaatst. De kaarten werden aangeboden als dagkaart voor het Nederlandse spoorwegnet.

  Zie ook de categorie met mediabestanden in verband met OV-chipkaart op Wikimedia Commons.

Bronvermelding

Bronnen, noten en/of referenties: