Monique Bakker
Het kraken van smartcards
Op deze pagina:
Een logische studiekeuze
‘Ik ben Bedrijfs- en industriële statistiek gaan studeren uit interesse en de vele mogelijkheden die je na de opleiding hebt. Vakken als wiskunde en natuurkunde heb ik altijd leuk gevonden op de middelbare school en ik had er ook wel talent voor. Het was dan ook redelijk vanzelfsprekend dat ik voor een exacte studierichting zou kiezen.’
De beste herinneringen uit de studietijd
‘Tijdens de studie vond ik de meeste vakken eigenlijk wel leuk. Soms had het maken van studieopgaven wel weg van het oplossen van een ingewikkelde puzzel. Twee vakken zijn mij het meest bijgebleven, namelijk Statistische procesbeheersing (SPC) en de cursus Leiden van groepen.
SPC ging over het gebruik van statistische methoden om productieprocessen, zoals het maken van auto’s of het vullen van pakken melk, onder controle te krijgen. Het doel is daarbij om ervoor te zorgen dat de variatie tussen individuele producten minimaal is. Door op een slimme manier metingen te verrichten tijdens de productie en deze te registeren kun je nauwkeurig bepalen wanneer het nodig is om de productie bij te sturen. Je wilt in de productie niet te veel bijsturen, want dat veroorzaakt meer variatie en uiteindelijk meer defecte producten.
Als onderdeel van het vak hebben we een bezoek gebracht aan ASML, een fabrikant van machines die gebruikt worden bij het produceren van computerchips. Dat maakte wel indruk op mij zo’n enorme fabriek waar ingewikkelde machines worden gebouwd!
Leiden van groepen was in feite een training op het gebied van communicatie en vergadertechnieken. Dit vak werd gegevens aan de psychologiefaculteit samen met (voornamelijk vrouwelijke) studenten psychologie. Deze studenten hadden een wat andere kijk op de wereld dan wij van statistiek. Die verschillen leidden regelmatig tot verhitte discussies en grappige misverstanden. De sfeer bij het vak was zo goed dat we uiteindelijk nog een paar keer met elkaar op stap zijn geweest.’
Afstudeerstage over datamining
‘Ik ben in 1997 afgestudeerd op een scriptie over datamining, een toepassing van statistiek waarbij informatie uit grote databestanden wordt gehaald. Grote banken proberen uit hun klantgegevens interessante groepen te verzamelen waaraan dan speciale producten worden aangeboden. Ook al doe ik niets meer op het gebied van datamining, het blijft mijn interesse houden.’Het kraken van smartcards
Tegenwoordig werk ik als evaluator bij TNO ITSEF BV. Binnen ons bedrijf, een 100% dochter van TNO, onderzoeken we de veiligheid van PIN-automaten en smartcards. Voor betalingen gebruiken we in Nederland voornamelijk nog pasjes met een magneetstrip, maar deze wordt de komende jaren vervangen door een kaart met een chip. Wij onderzoeken de veiligheid van dit soort chips voor fabrikanten van smartcards, die bij goedkeuring als VISA-card in de markt gezet mogen worden. De beveiliging van dit soort producten is eigenlijk een constante wedstrijd tussen fabrikanten en hackers.
Op de chip in een smartcard is een aantal geheimen opgeslagen zoals je PIN-code en sleutels die berichten omzetten in een soort geheimtaal, die alleen de kaart en de creditkaartmaatschappij kennen. Net als computers rekenen smartcards intern met binaire signalen (nullen en enen). Als statisticus onderzoek ik of het mogelijk is om de sleutels die de smartcard gebruikt te achterhalen, ik maak daarbij gebruik van het principe dat een smartcard een verschillende hoeveelheid stroom verbruikt voor het verwerken van een 0 of een 1, bij het vercijferen van berichten. Je doet dan een groot aantal metingen van het stroomverbruik tijdens het vercijferen van berichten Door te bekijken of er een verband (in statistiek jargon- correlatie) bestaat tussen het gemeten stroomverbruik en mogelijke sleutels of stukjes van de sleutel, ben je soms in staat de gebruikte sleutel te identificeren. Na statistische analyse kun je vervolgens een uitspraak doen over de veiligheid van een chip.
Ieder type smartcard is weer anders en het vraagt een stukje creativiteit en inzicht om een ‘aanval’ met succes uit te kunnen voeren. Dat is de uitdaging in mijn werk. Voorlopig liggen er bij TNO ITSEF heel wat uitdagingen. De technische ontwikkelingen volgen elkaar in rap tempo op. De markt is sterk in beweging. De eisen die gesteld worden aan het onderzoek veranderen steeds. Kortom genoeg dynamiek en veel werk. Maar ik sluit niet uit dat ik ooit in de toekomst wel eens aan de andere kant van de tafel zou willen plaatsnemen. Hier bedoel ik mee dat het me ook wel trekt om beveiligingsproducten te ontwikkelen.’