Lekken in NXP-chip worden openbaar

Gelezen: Uitspraak rechtbank Arnhem 18 juli 2008 NXP, voorheen Philips Processoren, produceert sinds 1995 de Mifare chips. Het is de meest gebruikte chip voor contactloze chipkaarten, voor bijvoorbeeld chips op betaalkaarten voor toegang tot gebouwen en sinds kort voor de OV-chipkaart. Wereldwijd zijn ongeveer 1 miljard exemplaren afgezet. Maar de onderzoeksgroep Digital Security van de Radboud Universiteit Nijmegen heeft lekken in de beveiliging vastgesteld. De Mifare (Classic) Chip is te kraken en te klonen is. En de groep wil dit in extensie beschrijven en dat vrijgeven tijdens een congrs in Spanje begin oktober. NXP probeerde dat tegen te houden in een kort geding, want ze vreest grote veiligheidsrisico’s en omvangrijke schade. Digital Security bestrijdt dat er grote risico’s aan publicatie zitten en beroept zich op het recht op vrijheid van meningsuiting. Voorzieningenrechter Boonekamp is het daarmee eens en wijst de vordering van een verbod op openbaarmaking af. De belangrijkste grond is artikel 10 van het Verdrag van de Rechten van de Mens (EVRM). Die geldt ook voor wetenschappelijk publiceren. Er is geen 'dringende maatschappelijke noodzaak' om die vrijheid in dit geval te beperken. Dat op korte termijn ernstige veiligheidsrisico’s dreigen door publicatie gelooft de rechter niet. Bedrijfsschade van NXP is niet het gevolg van publicatie van het artikel maar van het produceren en verhandelen van een chip die gebreken blijkt te hebben. Dat is het risico van NXP. Publicatie leidt ertoe dat er maatregelen kunnen worden genomen tegen de risico's van het lek in de chip. Letterlijk: "De risico’s van eenvoudigere kraakbaarheid van de chip met behulp van de informatie in het artikel zullen zich vermoedelijk ook hier en daar gaan verwezenlijken. Dat is tot op zekere hoogte iets dat in een open democratische samenleving zal moeten worden aanvaard. Bedacht dient daarbij te worden dat alternatieven voor de Mifare Classic chip reeds voorhanden zijn, zoals de door RUN c.s. genoemde eveneens contactloze Hitag2 chip, die al sinds 1996 door NXP op de markt wordt gebracht en die de wezenlijke manco’s van de Mifare Classic chip niet heeft. Voorts dat naar verwachting van NXP niet meer dan enkele jaren gemoeid zullen zijn met wereldwijde ‘migratie’ naar beveiligingssystemen met een andere chip, zodat de kans op verwezenlijking van (veiligheids)risico’s ook in tijd is beperkt." NXP moet de Universiteit ook 6.500 euro aan kosten vergoeden. We schreven eerder over Verkeer & Waterstaat en de OV-chip en de aanhoudende leugens rond de chip.