Kwetsbaarheid EPD pas aangetoond in laboratoriumomgeving

In een brief aan de Tweede Kamer meldt minister Klink van Volksgezondheid, Welzijn en Sport dat onderzoekers in staat zijn geweest om de private sleutel van de chip op de zogenaamde "UZI pas" te achterhalen. Ondanks dat de minister inschat dat het operationeel risico voor het gebruik van de pas voor toegang tot het EPD zeer klein is, zullen de passen vervangen gaan worden.

In een brief aan de Tweede Kamer schrijft de minister Klink (Volkgszondheid, Welzijn en Sport) over de pas die door zorgverleners moet gaan gebruikt worden voor het EPD:

In de brief van 19 februari 2009 (MEVA/ICT-2914041) naar aanleiding van de wetsbehandeling elektronisch patiëntendossier is gemeld dat er maatregelen worden getroffen om een onlangs in een laboratoriumomgeving geconstateerde kwetsbaarheid in het rekenmechanisme van de chip op de UZI-pas te ondervangen. De smartcards die te maken hebben met deze kwetsbaarheid worden breed (inter-nationaal) toegepast, zowel in de publieke als de private sector. In Nederland be-treft het in de publieke sector de UZI-pas en de Defensiepas. Ook het ministerie van Verkeer en Waterstaat maakt gebruik hiervan gebruik in de Digitale Tacho-graaf en heeft ze voorzien voor de Boordcomputer Taxi. De geconstateerde kwetsbaarheid betreft de toepassing van het Chinese Remainder Theorem (CRT) om het uitvoeren van bepaalde berekeningen te ver-snellen. In een laboratoriumsituatie zijn experts in staat gebleken om de private sleutel van een chip te achterhalen. Om een private sleutel te achterhalen is het telkens weer nodig om te beschikken over de smartcard én bijbehorende pincode, grote deskundigheid en gespecialiseerde apparatuur. Hiermee kan een private sleutel van een chip worden verkregen. Deze is overigens dan alleen te gebruiken zolang de originele smartcard niet ingetrokken is door de rechtmatige eigenaar.

Over de gevolgen voor de UZI-pas schrijft de minister:

Na contact met leveranciers is door VWS vastgesteld dat de kwetsbaarheid een zeer gering operationeel risico vormt voor het gebruik van de UZI-passen voor de toegang tot het EPD. […] Wel is het belangrijk de kwetsbaarheid op korte termijn weg te nemen. Voor de UZI-pas is deze overgang naar een modernere chip (zonder de geconstateerde kwetsbaarheid) voorzien voor medio derde kwartaal 2009. Vanaf dat moment zal elke nieuwe UZI-pas zijn voorzien van de nieuwe chip. In de communicatie naar de huidige gebruikers van de UZI-pas zal extra worden benadrukt dat de pas en pincode gescheiden moeten worden gehouden en zorg-vuldig moeten worden beheerd. Bij verlies of diefstal van de pas dient de pas direct ingetrokken te worden. Dit kan 24 uur per dag via de website van het UZI-register. De geldigheid van UZI-passen is drie jaar. Vanaf het moment dat de nieuwe chip beschikbaar is, zullen de al verstrekte passen niet na drie jaar, maar na twee jaar worden vervangen. Indien een gebruiker dit wenst, kan eerder omwisseling plaatsvinden.

Het NRC meldt verder in het artikel Invoering medisch dossier ligt stil na kraak pas:

Het elektronisch patiëntendossier (EPD) is tot juli van dit jaar stilgelegd. Minister Klink (Volksgezondheid, CDA) zegt dat de vele bezwaarschriften van mensen tegen deelname aan het EPD een zorgvuldige verwerking vereisen. […] Kamerlid Arda Gerkens (SP) gelooft echter dat technische problemen de werkelijke reden zijn.

Ongeruste Kamerleden van de SP en de PVV stelden de minister eerder vragen over de kraak. Klink antwoordde dat er wordt gewerkt aan een nieuwe, veiliger pas. In het derde kwartaal van dit jaar zou die er moeten zijn.