By De Nederlandse Spoorwegen (NS) biedt al tientallen jaren ‘wifi in de trein’ aan in haar intercity’s. Tegenwoordig gaat dat grotendeels via het 4G-netwerk van T-Mobile en is de snelheid hierdoor verbeterd. Echter, de beveiliging is dat zeker niet. Wat is er precies onveilig en wat kun je eraan doen?
Wifi in de trein lekt jouw (meta) data
Door het aanbieden van wifi in de trein is de NS niet alleen een OV-bedrijf, maar in feit ook een internet-provider. En dan mag je verwachten dat ze de beveiliging van dat netwerk wel op orde hebben. Niets is minder waar.
IT-expert Hannes Mühleisen toonde al in 2015 aan dat hij eenvoudig met twee wi-fi antennes op zijn woonboot in Amsterdam al het wifi-verkeer kon afvangen van de treinen die het centraal station in- en uit reden. Binnen 5 maanden verzamelde hij van meer dan 10.000 treinreizigers de (meta) data. Bezochte websites, het merk smartphone & tablet en zelfs met MAC-adres (unieke device nummer) kon hij zien. Allemaal omdat het wifi-netwerk in de trein niet is beveiligd. Kon hij daarmee alles zien? Nee: websites die netjes versleuteld zijn met https vielen daar niet onder, maar alle verkeer via onbeveiligde verbinding en/of websites wel.
Mühleisen had nog verder kunnen gaan en ook bijvoorbeeld creditcard-nummers kunnen opslaan die via het wi-fi netwerk werden verstuurd, maar hij had niet zo’n zin in een rechtszaak dus hield het netjes bij het afvangen van meta-data.
Bekijk hier de Sanoma Tech-talk waarin Mühleisen stap voor stap uitlegt hoe hij de gegevens van 10.000 treinreizigers kon ontvangen:
Wanneer je apps als Facebook & Gmail gebruikt, dan zit je over het algemeen wel safe omdat deze gebruikmaken van het HTTPS-protocol. Maar er zijn nog genoeg websites die hier nog geen gebruik van maken. Wanneer je die opent, kan iemand in dezelfde trein of dicht in de buurt dus gewoon met je meekijken.
En wat doet de NS hieraan? Vooralsnog helemaal niets, terwijl het netwerk relatief eenvoudig te beveiligen is met een wachtwoord. Reden waarom niet, is waarschijnlijk om de dienst laagdrempelig te kunnen houden. De veiligheidsrisico’s worden dan ook afgedicht met een klein tekstje dat aangeeft dat je zelf maar op moet letten dat je websites met een HTTPS-verbinding bezoekt. Lekker makkelijk NS!.
Wat doet de NS met jouw data?
Dat unieke MAC-adres van je laptop, tablet of telefoon slaat de NS natuurlijk ook op. Hiermee kunnen ze je verbinden met het netwerken. In de trein doen ze (aldus de voorwaarden) verder geen analyse met je data, maar op bepaalde stations gebruikt de NS wel wifi-tracking om reizigersstromen in kaart te brengen.
Wij kunnen uw gegevens in het kader van het opsporen en voorkomen van strafbare feiten doorgeven aan opsporingsinstanties zoals de politie.
In de voorwaarden van Wifi in de trein is ook terug te lezen dat de NS je gegevens uiteraard netjes deelt met de opsporingsdiensten wanneer zij daarom vragen. Daar komen ook nog wat derden partijen bij om de dienst (wifi) te kunnen aanbieden en je data zou ook nog best wel eens op een server buiten de EU kunnen belanden. Voor welk doeleinde wordt er voor het gemak dan weer niet bij genoemd.
Hoe kan ik veilig gebruik maken van wifi in de trein?
Het beste is om ook in de trein gebruik te maken van een VPN, om ervoor te zorgen dat je internet-verkeer niet inzichtelijk is voor anderen. Eigenlijk zou je dat altijd moeten doen op een openbaar netwerk, maar zeker op dat van de NS wat aantoonbaar niet veilig is.
Wil je nog een stapje verder gaan, dan kun je beter je wifi helemaal uitzetten in de trein en op het station omdat de NS je daarmee ook kan volgen.
Heb je nog geen VPN? Bekijk dan vooral ook deze reviews.
