Veiligheid zit onvoldoende ingebakken in de architectuur van internet. Dankzij een nieuwe categorie wapens ligt de wereld open voor oorlog en afpersing.
Het is relatief nieuw terrein: spionage en oorlog via de digitale dimensie. Het is een schimmige wereld, onbekend bij het grote publiek. Overheden en bedrijven die er mee te maken krijgen, houden de kaken op elkaar. Bang voor gezichtsverlies, bang om hun kwetsbaarheid te etaleren, bang voor de beurskoers.
Elke computer die aan een netwerk hangt, kan ongewenste bezoekers aantrekken en het internet der dingen stelt kwaadwillenden in staat tot nieuwe vormen van sabotage. Op afstand, onzichtbaar, niet te traceren.
Waar houdt een cyberaanval op een daad van spionage te zijn er wordt het een oorlogshandeling? Wanneer wordt een worm een cyberwapen? Illegaal en verdekt op andersmans computer rondsnuffelen naar informatie is spionage. Stiekem ‘informatie’ toevoegen of bestaande informatie veranderen is desinformatie, de tegenstander verwarren Spionage dus.
Titan Rain
Maar het hoeft niet te blijven bij meeloeren en verwarring schoppen. Wie op andermans computer in het geniep iets verandert waardoor er in de fysieke werkelijkheid dingen kapot gaan, is bezig met sabotage. Die heeft een stukje computercode geschreven en geïmplementeerd dat werkt als een bom. Die gebruikt een cyberwapen. Dan is spionage overgegaan in oorlog.
In zijn documentaire over het wonder dat internet heet noemt Werner Herzog het incident dat te boek staat als Titan Rain de grootste cyberaanval ooit. De computernetwerken van Amerikaanse bedrijven die werkten aan opdrachten voor het ministerie van defensie werden tussen 2003 en 2006 geïnfiltreerd door buitenlandse hackers. Ook de Britten merkten dat er in hun computers werd gescharreld naar gevoelig materiaal. De schuldigen zijn uiteraard nooit gevonden, maar de Amerikanen wezen China als dader aan.
Sommige deskundigen hebben opgemerkt dat de Titan Rain-aanvallen kunnen zijn uitgevoerd door niet-Chinezen die de notoir slechte computerbeveiliging in China hebben gebruikt om langs die weg hun spiekwerk te verrichten. Vast staat dat de acties waren gecoördineerd. Er zat dus een team achter, geen aan energiedrankjes verslaafde puistenkop verscholen op een slonzige zolder.
Web Warriors (BBC 2008)
https://www.youtube.com/watch?v=bTmZ6sbnsIw
Stuxnet
Cyberwapens zijn een geheel nieuwe klasse van wapens, met een potentie die is te vergelijken met de destructieve kracht van een atoombom. De infrastructuur van de 21ste-eeuwse samenleving is voor een belangrijk deel geautomatiseerd. Computers helpen beheerders om krachtcentrales, stroomnetwerken en zeesluizen goed te laten functioneren. Verziek die computers en er breekt chaos uit. Duurt de chaos lang genoeg, dan vallen er slachtoffers. Een stad zonder stroom of drinkwater is een sterfhuis.
De infrastructuur van de genetwerkte samenleving is kwetsbaar. Via internet kunnen energiecentrales en gas- en elektriciteitsnetwerken worden gehackt en zelfs als ze niet aan het net hangen, staan ze open voor kwaadwillenden. De air gap (computer staat los van interet) bestaat niet. Er zijn altijd updates, van software of actuele informatie. De usb-stick is het medium om malware binnen te smokkelen. Iedere computer is ongemerkt te manipuleren.
Het meest krasse staaltje van een digitale oorlogsdaad is stuxnet, de naam waaronder een worm bekend is geworden die tussen 2008 en 2012 het nucleaire programma van Iran heeft gesaboteerd. Doel waren de centrifuges waarmee verrijkt uranium werd gemaakt, de grondstof voor kernwapens.
Ontsnapt
Stuxnet is tot op heden – voor zover bekend – het meest geavanceerde cyberwapen dat is ingezet. Het maakte gebruik van maar liefst vier onbekende beveiligingslekken (in jargon zero days) en hield zich verscholen voor de technici van de gehackte installaties: het toonde op de controleschermen ‘situatie normaal’ terwijl de boel gierend van de rails liep. Het verspreidde zich via het geïnfecteerde computernetwerk en wiste zichzelf na drie andere computers te hebben geïnfecteerd. Stuxnet was een schim tussen schimmen, ongrijpbaar.
Naar verluidt is stuxnet een product van Amerikaanse en Israelische geheime diensten, bedoeld om het kernwapenprogramma van Iran te frustreren. Tussen 2008 en 2010 functioneerde het optimaal en deed in complete dekking zijn destructieve werk. Toen ging het mis. Er werd een agressievere variant van stuxnet ingezet en die is ontsnapt. Niet alleen industriële installaties in Iran bleken geïnfecteerd, over de hele wereld dook de worm op, van Japan tot, o ironie, de Verenigde Staten.
In al die besmette centrales wereldwijd was stuxnet niet actief, want zijn doel was heel precies omschreven. Maar het zat er wel. En kon in potentie door kwaadwillenden worden geactiveerd. Officieel is de worm op 24 juni 2012 overleden, want er was een einddatum in de code geschreven. Of ze sindsdien allemaal zijn verwijderd is niet bekend. Over het opnieuw activeren en herprogrammeren van de worm wil een geestelijk gezond mens liever niet nadenken.
Trailer Zero Days (documentaire over stuxnet)
Geheimzinnigheid
Cyberwapens zijn een geheel nieuwe categorie wapens met een potentiële vernietigingskracht die de verbeelding tart. Maar anders dan atoomwapens zijn cyberwapens omhuld door een deken van geheimzinnigheid. Er zijn experts die pleiten voor meer openheid en internationale afspraken, zoals dat ook met kernwapens is gebeurd. “This stuff is ridiculously overclassified,” aldus Michael Hayden, de voormalige directeur van CIA en NSA.
Onlangs werd bekend dat er is ingebroken in het cyberwapenarsenaal van NSA. Er zijn door onbekenden cyberwapens ontvreemd.
Internet werd, voordat het publiek ging, voornamelijk gebruikt door academici. Het functioneerde in een wereld waarin men elkaar vertrouwde. Daarom was veiligheid geen prioriteit. Onveiligheid zit ingebakken in de architectuur van internet. Dat zal anders moeten.
Tel een plus een op en er verschijnt een wereld waarin regeringen en bedrijven worden afgeperst door criminelen en dictators die hen gijzelen met cyberwapens.
Oud-CIA en oud-NSA direct Michael Hayden heeft volkomen gelijk: spionagediensten, kom uit de kast met jullie cyberwapens. Het speelkwartier is voorbij.
Zero Days-regisseur Alex Gibney over cyberwapens
