Reishistorie

Wanneer je niet wilt dat jouw reishistorie wordt bijgehouden dan kun je beter kiezen voor een anonieme ov-chipkaart.

Dan moet je die wel met contant geld opladen.

Bij persoonlijke kaarten moet het volgens mij ook voor de Belastingdienst bijgehouden worden.
En hoe kom je erbij dat het in plaintext op de server wordt opgeslagen?

Meer informatie kun je hier vinden (niet zozeer over de reishistorie, maar wel als je een klacht o.i.d. zou willen indienen): https://www.ns.nl/privacy/rechten-betrokkenen.html

Dat is natuurlijk alleen als je kosten wil aftrekken. Niet als je naar oma's verjaardag gaat.

Nee, ik bedoel dat de vervoerders die gegevens zelf aan de Belastingdienst verstrekken.

Zie bv. https://www.ns.nl/klantenservice/geld-terug/geld-terug-van-de-belastingdienst.html

Reis je met een jaarabonnement? Dan sturen we je abonnementsgegevens door naar de Belastingdienst.

Het probleem is dat dit alles overruled wordt door de bevoegdheden van de inlichtingdiensten. En daar zit het grote privacylek omdat de overheid nu eenmaal de grootste spion is.

O, toen ik nog werkte moest je die zelf opvragen en dan opsturen. Kennelijk gaat dat nu ook al volautomatisch.

Lijkt me vrij sterk dat die data gewoon als plaintext op de server staat, zeker als het om privacy gevoelige informatie gaat.

Als je echt om je privacy geeft zul je gewoon elke keer losse kaartjes moeten kopen met contant geld ben ik bang.

Ik snap best dat je om je privacy geeft, maar die ben je voor het grootste gedeelte echt al jaren kwijt...

Dank voor jullie antwoorden.

Wanneer je niet wilt dat jouw reishistorie wordt bijgehouden dan kun je beter kiezen voor een anonieme ov-chipkaart.

Reizen zonder abonnement is voor mij de laatste jaren helaas te duur geworden. Vandaar dat ik nu een persoonlijke kaart heb.

Over de privacy zou ik me niet druk maken, dat is sowieso weinig serieus te nemen. 

Helaas is het niet alleen privacy maar je moet ook volledig het vertrouwen hebben dat NS/Translink/wie-dan-ook je reishistorie beveiligd weet te houden. Als NS een grootte datalek heeft kan de reishistorie van iedere NS-reiziger op straat liggen voor iedereen om in te lezen.

Privacy is anno 2024 een illusie

Dat denken veel mensen en dat is begrijpelijk. Privacy is echter zeker nog mogelijk, met name via open-source software (Linux in plaats van Windows, Google-alternatieven gebruiken, enz. enz.) Voor wie de privacy en controle over hun data weer terug wil, raad ik aan hier meer naar te kijken. 😉

En hoe kom je erbij dat het in plaintext op de server wordt opgeslagen?

Wanneer een server met data terugkeert en het is leesbare text, dat betekent dat het niet is ‘gehashed’. Hashing is eenrichtingsverkeer, zodra je iets hashed kan je het niet meer in plaintext veranderen.

Een andere methode is encryptie, maar ook met een encryptie-laag is je data niet veilig. Als een hacker de ‘digitale sleutel’ van NS weet te pakken kan hij alsnog bij de gegevens.

Hoe deze elementen allemaal werken is lastig, dat maakt het helaas moeilijk om mensen van cybersecurity bewust te maken.

Tot slotte hoop ik dat NS gaat na denken om wat meer privacy (en veiligheid!) terug te geven aan de reiziger.

Dat is toch echt te simpel. Dan beweer je dus dat alle informatie die op te vragen is, in plaintext wordt opgeslagen. Dat is onzin. Hashing wordt voornamelijk gebruikt voor wachtwoorden. Die hoef je in principe nooit meer op te kunnen vragen, hoogstens wijzigen. Alle andere informatie wordt zoals je zelf al zegt met encryptie beveiligd. Niks is 100% veilig, maar als encryptie veilig genoeg is voor staatsgeheimen, is dat het ook voor jouw reishistorie. Al weten we natuurlijk niet welke encryptiemethode gebruikt wordt.

Maar hoe kom je er dan bij dat het in plaintext opgeslagen wordt, want daar geef je geen antwoord op, ik kan bijna met zekerheid zeggen dat de informatie op de server gewoon beveiligd is met encryptie, hoe goed beveiligd daar kan ik niks over zeggen (niemand natuurlijk).

NS is een megabedrijf en het kost ze miljoenen als de informatie op die servers op straat beland.

Maar hoe kom je er dan bij dat het in plaintext opgeslagen wordt, want daar geef je geen antwoord op

Alle data dat kan worden teruggezet naar menselijk-leesbaar text is, in principe, plaintext met extra stappen. Zo wordt het nou eenmaal gezien bij ons bedrijf en daar ben ik het mee eens.

Ik had duidelijker moeten zijn, daar biedt ik mijn excuses voor aan

NS is een megabedrijf en het kost ze miljoenen als de informatie op die servers op straat beland.

Dat klopt, maar toch gebeurd het regelmatig dat grote bedrijven een datalek hebben. Helaas is het boete betalen en doorgaan.

Tja, het heeft in 99% van de gevallen geen zin om informatie op te slaan die niet meer opgevraagd kan worden.

Tja, het heeft in 99% van de gevallen geen zin om informatie op te slaan die niet meer opgevraagd kan worden.

Daar kan ik alleen maar mee eens zijn. Ik reis op saldo en betaal alles vooraf, inclusief mijn abonnement. Hoeft dus geen declaratie overzicht te maken met overzicht van vorige reizen, dat reishistorie wordt bijgehouden wil ik gewoon niet.

Je hebt privacy in je eigen auto/fiets (mits je niet zo'n auto hebt met spion-software), hetzelfde hoort gewoon te gelden voor de trein en de bus.

Ik raad aan mensen zelf expliciet kunnen laten kiezen om reishistorie bij te houden voor wie dat wil. Maar geef het risico dat ze nemen aan.

Het is ten slotte ook gewoon een veiligheidsprobleem als slechte mensen je reispatroon komen te weten.

Meer dan maatschappelijke bewustzijn hiervan vergroten kan ik helaas niet doen. Gemiddeld is elke Nederlander minstens een keer gebreached (bron). Hoop dat jullie begrijpen waar ik vandaan kom.

Groet

1 of 2 persoonscoupés zodat je privé gesprekken in de trein ongestoord kunt voeren?

Maar hoe wil je het dan nog veiliger hebben? Een hash gaat niet werken op alles behalve bijvoorbeeld je wachtwoord.

@Slagroomwolk heeft wel een puntje, want:

Alle ov-chipkaart transacties (reizen en saldo opladen) in het ov gaan via TLS/OV-chipkaart, daar ontkom je niet aan. Je kunt deze desgewenst inzien via een Mijn OV-chip account (met eventueel tweestaps-verificatie via een code per e-mail).

Helaas heb je wel de pech dat de laaste 20 transacties (incl. kaartcontroles onderweg) ook op je ov-chipkaart zelf opgeslagen worden, dus wie jouw kaart in handen krijgt hoeft maar naar een willekeurige automaat (of servicebalie) te gaan voor een uitdraai… (naar de foto kijken doen ze meestal niet).

Bovendien kan iemand een kaart ook zonder jouw medeweten/toestemming aan een account koppelen, zolang diegene je kaartnummer en de einddatum maar weet. In dat geval krijgt diegene 18 maanden inzicht in jouw reishistorie. Edit: volgens mij werkt dat alleen als je persoonlijke kaart nog niet gekoppeld is aan een account.

Bij toevoegen aan een Mijn NS account (en een NS abonnement op de kaart) kan dat wel, en krijgt de kaarthouder een e-mail dat de kaart aan een andere account gekoppeld is (facturen inzien kan niet, reishistorie en abonnementsgegevens wel).

Dan is het eigenlijk ook al te laat want in die e-mail staat slechts een knop/link om de koppeling in te trekken, en dan heb ik je reishistorie natuurlijk al lang gedownload.

Nee, dat begrijpen we niet, en zijn we hier ook niet in geïnteresseerd. Voor 99,8 procent van de reizigers is het compleet niet interresant of NS hun reisgedrag bijhoud voor administratieve redenen of niet. Deze mensen hebben niets te verbergen. Is het interresant of zo'n reiziger nou naar Veendam of Valkenburg gaat ?

Maar goed, ook @Slagroomwolk betaald zijn huur of hypotheek, boodschappen, internetabonnement en verzekering per digitale overschrijving, zijn medische gegevens worden opgeslagen, wordt op de weg gefilmd en gefotografeerd, net als op het station en in de trein. En ik schat zo in dat @Slagroomwolk ook op deze Community zijn gegevens en IP-adres achterlaat, net als bij de belastingen, uitkeringsinstantie of werkgever. Anno 2024 is het compleet onmogelijk te leven zonder sporen na te laten.

Dus waarom zo moeilijk doen over je OV chipkaart ?

Ik snap de drukte ook niet, want reishistorie bekijk/download je via een browser en dat is dus al SSL versleuteld. Je kunt daar nog wel een VPN overheen gooien (zoals die Surfshark ‘anonimizer’ of soortgelijke oplossingen) maar dat voegt totaal niets toe, hooguit om te verbergen vanaf welk ip-adres je data benaderd is (met uiteraard jouw gebrukersnaam/wachtwoord).

Hoe dan ook, je data wordt gewoon opgeslagen want als je de Klantenservice nodig hebt kunnen die (met jouw toestemming) ook gewoon mee kijken. Zelfde voor geld terug bij vertraging en andere claims.

Nou ik vind het eigenlijk best wel intressant (dan ben ik die 0,2% hihi), en ik kan het ook nog wel begrijpen. Er is alleen vrij weinig wat er aan gedaan kan worden.

Ik denk dat je je alleen zorgen hoeft te maken over of iemand je reishistorie kan zien als je gezocht wordt door de mafia ofzo 🤣.

Zoals ik al eerder aangaf, heb je pas echt privacy als je elke keer een fysiek kaartje met contant geld koopt, maar goed TS heeft een abbonement dus die vlieger gaat ook niet op...

Of een boze/jaloerse ex (die je kaartnummer en einddatum weet), en die wil weten waar je zoal naar toe reist (of op een bepaald moment thuis bent…) 🤣

Laten we hopen dat NS een 'state of the art' databeveiliging heeft zodat onze reishistorie nooit op straat zal belanden (en alle andere informatie zoals adressen of nog erger... community login 😱) 😉

@Slagroomwolk ik hoop dat je er mee kan leven dat het niet beveiligd is zoals jij dat graag ziet, misschien dat een moderator je feedback doorzet, wie weet veranderd er wat 🤷‍♂️. Maar zo lang jij je ov-chipkaart veilig bewaart denk ik niet dat je bang hoeft te zijn.

In iedergeval dank voor deze interessante topic heb toch nog een paar leuke dingen geleerd!

Feedback over dit systeem kan ik altijd doorzetten! Dit doe ik ook meteen bij deze. Echter zie ik dit niet veranderen voor persoonlijke OV-chipkaarten. Misschien zal dit een optie zijn voor de opkomende OV-chipkaart vervanger, maar daar heb ik compleet geen informatie over op dit moment! 

Maar hoe wil je het dan nog veiliger hebben? Een hash gaat niet werken op alles behalve bijvoorbeeld je wachtwoord.

Dat is een goede vraag. Client-side encryption zou een optie kunnen zijn. Stel je kan je eigen encryptie-sleutel op je OV-kaart zetten. OV-palen kunnen deze sleutel gebruiken om je gegevens te encrypten voordat ze gegevens verzenden. Om je reishistorie te zien in bijv. Mijn NS, moet je dezelfde sleutel invoeren. Alleen jij hebt de sleutel, dus ook bij een datalek zijn je gegevens veilig. Let wel op; behandel de sleutel als een wachtwoord!

Wat deze methode waarschijnlijk in de weg staat is dat de software in OV-palen controleerbaar moet zijn (bijv. open-source), om te zien of er geen rare fratsen worden uitgehaald met de sleutels.

In iedergeval dank voor deze interessante topic heb toch nog een paar leuke dingen geleerd!

Dat is fijn om te horen! Meer kennis kunnen verspreiden over dit onderwerp doet mij altijd goed. 😄