vrijdag 14 oktober 2011

Vertrouwen in fax- en email berichten

Veel bedrijven vragen je een bestelling te bevestigen door hun offerte te ondertekenen en terug te faxen. Kennelijk gaan deze bedrijven er van uit dat ze met het ontvangen faxbericht makkelijker kunnen bewijzen dat er een rechtsgeldige overeenkomst is.

Hoe werkt fax eigenlijk?

De verzendende fax is een scanner met een fax-modem. De ontvangende fax is een printer met een fax-modem. Bij het opzetten van de verbinding wisselen de faxapparaten de namen van hun eigenaars uit ten behoeve van de rapportage. Na ontvangst van de laatste pagina stuurt de ontvangende fax nog wat informatie terug over het aantal transmissiefouten en het aantal ontvangen pagina's. Sommige faxapparaten slaan de ontvangen berichten op in geheugen op en drukken pas iets af als daar (met een druk op een knop) uitdrukkelijk om wordt gevraagd.

Hoe veilig is een faxbericht?

Fax apparaten kunnen niet bewijzen of ze met het gewenste andere fax apparaat communiceren. De nummers en namen die het andere fax apparaat heeft gestuurd kunnen net zo goed afkomstig zijn van een andere partij. Sommige fax apparaten maken gebruik van nummerherkenning, maar de betrouwbaarheid daarvan is afhankelijk van de betrokken telefoonbedrijven, je eigen bedrijfstelefooncentrale en de bedrijfstelefooncentrale van de andere partij. Het aantal plaatsen waar een hacker zou kunnen inbreken (en valse berichten kan injecteren of legitieme berichten onderscheppen) is groot:
  1. Het eigen faxapparaat
  2. De interne telefoonlijn
  3. De eigen bedrijfstelefooncentrale
  4. De lokale externe telefoonlijn
  5. De openbare telefooncentrale van je telefonieprovider
  6. Het netwerk tussen je eigen telefonieprovider en de telefonieprovider van de andere partij
  7. De openbare telefooncentrale van de andere partij
  8. De lokale externe telefoonlijn van de andere partij
  9. De bedrijfstelefooncentrale van de andere partij
  10. De interne telefoonlijn van de andere partij
  11. Het faxapparaat van de andere partij
Bij email is het aantal plaatsen waar een hacker iets zou kunnen doen misschien nog wel groter...

In beide systemen is er een wirwar van partijen en plaatsen waar iets naars zou kunnen gebeuren.

Digitale handtekening

Een digitale handtekening garandeert dat de afzender van het bericht klopt en dat de inhoud van het bericht ongewijzigd is. Aan veel email programma's kun je software voor beveiliging met digitale handtekeningen toevoegen. Dat heeft alleen zin als het email programma van de ontvanger de digitale handtekening ook controleert. Er is dus een zekere penetratiegraad nodig voordat digitale handtekeningen nuttig worden.

Er zijn twee methoden om een systeem van digitale handtekeningen op te zetten:
  1. De cryptografische sleutels zijn tevoren (bijvoorbeeld bij een persoonlijke ontmoeting) uitgewisseld tussen de verzender en ontvanger.
  2. De cryptografisch sleutels worden (via een beveiligde verbinding) met een derde partij uitgewisseld. Die partij moet zowel door de verzender als door de ontvanger worden vertrouwd.
Voor het maken van een beveiligde verbinding met de derde partij moeten eenmalig op een veilige manier (bijvoorbeeld in een persoonlijk contact) cryptografische sleutels zijn uitgewisseld. Het lijkt misschien dat het probleem hiermee alleen verplaatst is, maar dat is niet helemaal waar. Een derde partij kan namelijk voor heel veel personen de cryptografische informatie bewaren die nodig is om handtekeningen te controleren. Om duizend personen onderling cryptografische sleutels veilig te laten uitwisselen zijn 499550 persoonlijke ontmoetingen nodig. Met een derde partij die voor al die duizend personen de cryptografische sleutels bewaard zijn maar 1000 persoonlijke ontmoetingen nodig. Dat scheelt een hoop en naarmate het aantal personen toeneemt, neemt de besparing toe.

Het huidige vertrouwen in fax- en email-berichten is volkomen misplaatst. Digitale handtekeningen zijn voor faxverbindingen lastig toe te voegen. Maar voor email bestaan digitale handtekeningen al vele jaren (zie PGP onder digitale handtekeningen). Het daadwerkelijk gebruik van dit soort beveiliging van email berichten is zeer gering en lijkt helemaal niet toe te nemen. Misschien moet het een keer echt goed misgaan om dit onderwerp in de belangstelling te krijgen. Ook moet het gebruik van digitale handtekeningen doodsimpel zijn en standaard in elk email programma ingebouwd zitten.

dinsdag 11 oktober 2011

Wirwar van abonnementen bij NS

Het gaat in dit stukje uitsluitend over de algemene abonnementen; niet om abonnementen die op een bepaald traject geldig zijn.

Sinds 1 augustus verkoopt NS 5 nieuwe abonnementen. Zelfs in haar eigen overzicht slaagt NS er niet goed in daar een duidelijk overzicht van te geven. NS vermeldt van sommige abonnementen de prijs per maand, bij andere de prijs per jaar. Ook moet je goed zoeken op welke uren van de dag en week bepaalde abonnementen geldig zijn.

Hieronder staat mijn overzicht. Natuurlijk kan ik fouten gemaakt hebben en NS kan de regels veranderen. Aan de onderstaande tabel kunt u helaas geen rechten ontlenen.
NS naamPrijs per jaarOmschrijving
Altijd Vrij (bestond al voor 1 augustus)1e klas €5940
2e klas €3540
Algemeen abonnement op het hele net (altijd geldig, 100% korting), in de daluren 40% korting voor maximaal drie medereizigers.
Altijd Voordeel€24020% korting in de piekuren (alleen voor de houder), 40% korting in de daluren voor de houder en maximaal drie medereizigers.
Dal vrij1e klas €1980
2e klas €1140
100% korting in de daluren voor de houder en 40% korting in de daluren voor maximaal drie medereizigers
Dal Voordeel€5040% korting in de daluren (houder en maximaal drie medereizigers).
Weekend vrij1e klas €780
2e klas €480
100% korting voor de houder tussen vrijdagavond 19:30 en maandagochten 04:00, 40% korting in de overige daluren, 40% korting in alle daluren voor maximaal drie medereizigers.
Kids vrij€15
Prijs per kind, indien samen met een ander abonnement zijn de eerste drie Kids vrij abonnementen gratis
Kinderen van 4 t/m 11 jaar reizen gratis mee met een betalende volwassene. Ieder kind krijgt een eigen (op naam gestelde) OV chipkaart.
Voordeelurenabonnement (niet meer af te sluiten sinds 1 oktober 2011)€55
(€60 m.i.v. 2012)
40% korting op werkdagen voor 04:00 en na 09:00, de hele dag in het weekend en in juli en augustus. Deze korting geldt - op dezelfde tijden en dagen - ook voor maximaal drie medereizigers.
De definitie van daluren is op werkdagen voor 06:30, tussen 09:00 en 16:00 en na 19:30. In het weekend zijn alle uren daluren.

Leuker konden ze het niet maken; wel ingewikkelder!

Waarom is het zo waanzinnig ingewikkeld?

Een goed tarief zou ervoor moeten zorgen dat de treinen zowel in de spits als in de daluren goed gevuld raken tegen een fatsoenlijke opbrengst uit de kaartverkoop. Dat gaat met deze wirwar van abonnementen nooit werken.

Deze jaarabonnementen zijn per definitie niet geschikt voor mensen die ons land voor een vakantie bezoeken. Dat is zonde.
Mensen die hier wel het hele jaar wonen en reizen moeten een akelig goed idee hebben van hun reisbehoefte voor een heel jaar vooruit om de juiste keuze te maken en zelfs dan zullen ze wel een uurtje nodig hebben om te bepalen welk abonnement het meest geschikt is. Veel van deze abonnementen concurreren met elkaar en sommigen zijn te combineren.

Het lijkt erg veel op de chaos van telefoon, TV en Internetabonnementen in Nederland. Mijn verklaring voor die chaos is dan ook dezelfde:
  • Het is de bedoeling dat de klanten niet het (voor hun) meest voordelige abonnement aanschaffen.
Dat is een zware beschuldiging. Maar ik geloof gewoon niet dat deze wirwar echt bedoeld is om de treinen zo goed mogelijk te vullen.

Hoe moet het dan wel?

  1. Hou het simpel!
  2. Verplicht je klanten niet om zich voor lange tijd vast te leggen; ook toeristen die Nederland voor een dag, of een week bezoeken en incidentele reizigers zijn potentiële klanten (en juiste zij kunnen vaak gemakkelijk buiten de spitsuren reizen).
  3. Maak de trein voor incidentele reizigers niet duurder dan voor regelmatige reizigers, maar beloon regelmatige reizigers met af een toe een extraatje.
Hoe simpel kun je het maken?
Één tarief in de spits en een lager tarief in de daluren. Geldig voor iedereen. Alle bovenstaande jaarabonnementen vervallen.

De prijsreductie in de daluren mag wat minder zijn de nu veel gebruikte 40%. Zo kunnen de opbrengsten ongeveer gelijk blijven. Maar probeer het wel zo te maken dat de reiziger die in z'n eentje in een auto reist tussen twee plaatsen waartussen ook een treinverbinding bestaat net iets meer geld kwijt is aan benzine of diesel dan de prijs voor een treinkaartje in de daluren. Adverteer ook dat wie buiten de spits in z'n eentje met de auto gaat een dief is van z'n eigen portemonnee. Zo krijgen we die stoelen vast wel redelijk gevuld!

Tenslotte

Wat voor extraatjes zou NS aan haar regelmatige klanten kunnen geven?
  • Voor elke gereisde 250 km een kop koffie of thee bij de kiosk.
  • Voor elke gereisde 10000 km een eendaagse upgrade naar 1e klas, of een dag in een weekend vrij reizen met één medereiziger.
  • Enz. Er zijn zat kadootjes te verzinnen die weinig kosten, maar wel gewaardeerd worden.
De gespaarde treinkilometerpunten zijn vast wel op de bestaande OV-chipkaarten op te slaan en vervolgens bij de kiosk of plaatskaartenautomaat te verzilveren.

Aanvullingen en correcties

2011/10/12: Prijs en naam van Voordeelurenabonnement gecorrigeerd.