La Oyster Card di Londra: lecito piratarla?

La ricerca scottante verrà resa nota in una conferenza sulla sicurezza nel mese di ottobre. I dettagli sulle modalità di come copiare le tessere Oyster, utilizzate dalla rete di trasporto pubblico a Londra, possono davvero essere pubblicati, come ha stabilito un giudice olandese.

La sentenza capovolge un provvedimento inibitorio per reprimere queste informazioni, in precedenza vinto dalla società NXP (Next eXPerience semiconductors), i responsabili del sistema delle smartcards utilizzate sia Londra che in molte altre città.

L'ingiunzione era stata chiesta nel giugno 2008 dopo che alcuni ricercatori olandesi avevano dimostrato come copiare le carte e viaggiare gratuitamente sulla metropolitana di Londra.
Il piano dei ricercatori era quello di pubblicare le loro ricerche nel prossimo mese di ottobre.
I punti deboli nella Oyster Card sono stati scoperti dal Prof Bart Jacobs e suoi colleghi della università Radboud di Nijmegen, nel marzo 2008.

Secondo le indiscrezioni, le debolezze si concentrano attorno al microchip, chiamato Mifare Classic, che si posiziona nel cuore del sistema di carte “senza contatto”.
Oltre ad essere utilizzato nei 17 milioni di tessere Oyster, il chip Mifare è utilizzato anche nel sistema trasporti di Hong Kong ed è la base della smart card olandese chiamata Rijkspas. E non solo, molte organizzazioni, tra cui i governi, utilizzano la tecnologia Mifare come un sistema di ingresso sicuro per gli edifici.

Dati i milioni e milioni di carte in uso, il Professor Jacobs non ha ancora pubblicato i dettagli su come le informazioni sul chip possono essere copiate ed usate, proprio per dare ai vari enti e governi il tempo di preparare i sistemi contro un eventuale attacco.
Nonostante ciò, la NXP ha cercato un provvedimento inibitorio per garantire che dettagli della procedura non venissero mai pubblicati.

Il caso è andato in tribunale in Olanda ed ora il tribunale di Arnhem ha rovesciato l'ingiunzione citando leggi locali relative alla libertà di espressione.
Nella sentenza, il giudice ha dichiarato: "I danni alla società NXP non sono il risultato della pubblicazione di questo articolo, ma la produzione e la vendita di un chip che sembra avere delle carenze".

In una dichiarazione, l’università Radboud ha salutato la sentenza dicendo: "... in una società democratica è di grande importanza che i risultati della ricerca scientifica possano essere pubblicati".
Ma Christophe Duverne, un portavoce di NXP, ha dichiarato che ci vorrebbero mesi o anni, per alcuni utenti del chip, per adeguare i loro sistemi e difendersi contro un evintale attacco.

Un portavoce dei trasporti di Londra, ha dichiarato: "la Transport for London resta fiduciosa nella sicurezza del sistema delle Oyster Cards. Prendiamo in modo serio le frodi e la sicurezza dei dati personali e rivediamo costantemente le nostre procedure di sicurezza."

Ha poi aggiunto: "Qualsiasi uso fraudolento della carta potrebbe essere identificato entro le 24 ore e venire bloccato. Un utilizzo fraudolento della carta per viaggiare gratuitamente è soggetto ad azione penale e noi cercheremo di applicare la legge ovunque possibile". Fonte: BBC