De titel klinkt als iets uit een spionageroman. “Cybertsaar.” Maar in mei 2009 was het een echte vacature van de regering-Obama. Ze hadden iemand nodig die de computernetwerken van het land bewaakte. Obama noemde ze ‘strategische nationale activa’. Hij wilde een nationale cyberveiligheidsadviseur. Het doel was simpel: hackers stoppen. Houd spionnen tegen. Houd de digitale infrastructuur veilig.
Dit was geen plotseling idee. Washington praatte er al jaren over. In 2007 onderzocht een groep van het Centrum voor Strategische en Internationale Studies het probleem. Hun conclusie was somber. Computernetwerken waren kwetsbaar. Het was niet alleen meer een technisch probleem. Het was een nationale veiligheidscrisis.
Hacken was vroeger een hobby. Nu is het een industrie. Een winstgevende, vervelende. Uw gegevens zijn daar. Zwevend. Blootgesteld. Identiteitsdiefstal is de grootste bedreiging. Geldverlies is dat ook. De FBI heeft in slechts één jaar (2008) 264,6 miljoen dollar bijgehouden die verloren is gegaan door internetfraude. Dat is echt geld. Echte levens ontwricht. Voor de overheid staat meer op het spel dan uw bankrekeningnummer. Ze bevatten geheime gegevens. Geheimen. Defensie plannen. Dat is de reden waarom het ministerie van Defensie een nieuw Amerikaans Cyber Command Center heeft gepland. Om terug te vechten.
Toen kwam 4 juli 2009.
Het was Onafhankelijkheidsdag. Maar het internet werd aangevallen. Websites in de VS en Zuid-Korea werden getroffen. Moeilijk. De methode was denial-of-service (DoS). Stel je voor dat een brug onder water komt te staan met zoveel verkeer dat niemand er over kan. Dat is wat deze virussen doen. Ze crashen sites. Ze hebben ze afgesloten. Tijdelijk.
Wie heeft het gedaan? Noord-Korea. Of in ieder geval: zij waren de hoofdverdachte. Noord-Korea staat niet bekend om zijn hightech-bekwaamheid. Maar ze kregen de schuld omdat ze zich op ten minste negen Amerikaanse overheidssites hadden gericht. Je kent de groten. Het Witte Huis. Het ministerie van Financiën. Het Nationale Veiligheidsagentschap. Ironisch genoeg moest de NSA het nieuwe Cyber Command Center huisvesten. De ironie ontging niemand.
In Zuid-Korea waren ruim twintig locaties verstopt. Dezelfde tactiek. Hetzelfde resultaat. Chaos.
Had één hacker de macht om het netwerk van een heel land plat te leggen?
Ja.
Het precedent van Estland
Je zou denken dat dit nieuw is. Dat is het niet. Kijk naar Estland.
Estland is een kleine Baltische natie. Technisch onderlegd. Digitaal eerst. In 2007 kregen ze een klap. Door een gecoördineerde cyberaanval. Banken gingen ten onder. Overheidsdiensten verdwenen. Nieuwssites verdwenen. Het duurde weken.
Waarom? Vanwege een politiek geschil. Rusland en Estland hadden ruzie over een standbeeld uit het Sovjettijdperk. Het standbeeld werd verwijderd. De Russen werden boos. En ze vielen de digitale ruggengraat van Estland aan.
Het bleek iets cruciaals. Je hebt geen leger nodig om een land neer te halen. Je hebt alleen code nodig. En een motief.
Het verhaal van een onmiddellijke cyber-armageddon is nog niet uitgekomen, maar de schermutselingen gaan door en de strijders worden steeds beter. Neem de gecoördineerde aanvallen op de Amerikaanse en Zuid-Koreaanse infrastructuur op 4 juli 2009. Dat was geen op zichzelf staand probleem. Het was een voorproefje.
De talentenpool die deze activiteiten aanstuurt, is aan het verschuiven. Veel van de meest bekwame operators komen nu uit Rusland en voormalige Sovjetstaten. Deze geopolitieke nuance is van belang, vooral als je kijkt naar de virtuele ineenstorting van het nationale netwerk van Estland in 2007. De politieke inzet was hoog. De digitale gevolgen waren ernstig.
De oorsprong van de Estse belegering
In maart 2009 bekende de 22-jarige Rus Konstantin Goloskokov dat hij een groep pro-Kremlin-bondgenoten had georganiseerd. Twee jaar eerder lanceerden ze cyberaanvallen op Estse websites. De vonk was fysiek. In het voorjaar van 2007 braken er rellen uit in Tallinn nadat overheidswerkers een bronzen standbeeld van een Sovjet-soldaat ter herdenking van de Tweede Wereldoorlog hadden verplaatst.
Russische loyalisten zagen de verhuizing als een directe belediging van de rol van de Sovjet-Unie in de oorlog. Toen het straatgeweld eenmaal was afgenomen, verplaatste het conflict zich online. Volgens Goloskokov stuurden hij en zijn medewerkers enorme datastromen naar de Estse overheid, het bankwezen en mediaservers. Het resultaat was een intermitterende maar verlammende internettoegang van 26 april tot 18 mei 2007.
Hoe gedistribueerde Denial-of-Service-aanvallen werken
De virtuele invasie in Estland was gebaseerd op gedistribueerde denial-of-service-aanvallen (DDoS). Het concept is eenvoudig maar verwoestend. Hackers gebruiken de computers van anderen, vaak verspreid over de hele wereld, om een doelwit te overspoelen met verkeer.
Het proces begint met zombie-applicaties. Dit zijn kwaadaardige programma’s die de beveiliging omzeilen of achterdeurtjes creëren. Zodra hackers deze aangetaste machines onder controle hebben, koppelen ze deze aan een netwerk in botnets. In het geval van Estland stuurden enorme botnets gecoördineerde, crashveroorzakende datapakketten naar webservers. De servers konden de belasting simpelweg niet aan.
De schaal was onthutsend. In een rapport van de New York Times werd opgemerkt dat de gegevensbelasting gelijk stond aan het elke zes seconden downloaden van het volledige Windows XP-besturingssysteem gedurende 10 uur. De financiële en operationele schade was onmiddellijk. Hannabank, de grootste financiële instelling van Estland, verloor ongeveer $1 miljoen. Parlementsleden verloren vier dagen lang de toegang tot e-mail. Essentiële diensten zijn stilgevallen.
De implicaties voor moderne netwerken
Goloskokov beweerde dat dit burgerlijke ongehoorzaamheid was en geen misdaad. De classificatie verandert niets aan de uitkomst. Het incident bewees dat een kleine, afgelegen groep aanzienlijke macht kan uitoefenen.
Estland is een van de meest digitaal verbonden landen ter wereld. De regering heeft internettoegang in 2000 tot een fundamenteel mensenrecht gemaakt. Toch bracht de aanval een kwetsbaarheid aan het licht. Als een sterk bekabeld land zo gemakkelijk kan worden ontwricht, wat gebeurt er dan met grotere, minder geavanceerde netwerken? De Verenigde Staten worden bijvoorbeeld geconfronteerd met nog ernstiger gevolgen. Naarmate hackers hun vaardigheden en hulpmiddelen verfijnen, wordt de verdediging van de digitale infrastructuur een dagelijkse strijd, en geen theoretische oefening.
Wat er gebeurt als de infrastructuur faalt
De aanval in Estland was een gecontroleerde vernietiging van de digitale beschikbaarheid. Maar wat als de mislukking totaal is?
Als het internet crasht, wordt alles met het label ‘web’, ‘cloud’, ‘slim’ of ‘live’ niet meer functioneel. De meeste moderne toepassingen zijn afhankelijk van constante connectiviteit. Zonder dat zijn ze nutteloos. Banken, hulpdiensten en toeleveringsketens zouden onmiddellijk verlamd raken.
Dit roept een veel voorkomende vraag op: kan de overheid het internet afsluiten? In de Verenigde Staten verleent geen enkele wet federaal gezag over een ISP zonder een gerechtelijk bevel. De bestaande regelgeving op het gebied van informatiediensten heeft het mogelijk onbedoeld onmogelijk gemaakt om een echte ‘internet kill switch’ legaal uit te voeren. Bezuinigingen op de fysieke infrastructuur of gerichte DDoS-campagnes kunnen echter zonder wetgevende maatregelen vergelijkbare resultaten opleveren.
De les uit 2007 is niet dat de wereld vergaat. Het is dat de basis van het moderne leven kwetsbaar is. We hebben een beschaving op code gebouwd. Nu moeten we beslissen of die code sterk genoeg is om hem overeind te houden.
De verschuiving van hacktivisme naar door de staat gesteunde oorlogsvoering
Het verhaal rond cyberoorlogvoering veranderde dramatisch in 2009. Het ging niet langer over verveelde tieners in slaapkamers, maar begon op een georganiseerde geopolitieke strategie te lijken. Het omslagpunt was niet één enkele gebeurtenis, maar een cluster van incidenten die overheden dwongen te beseffen dat hun digitale infrastructuur kwetsbaar was.
Neem de Estse aanval. Het was niet alleen maar lawaai. Reuters meldde dat een loyalist van het Kremlin de verantwoordelijkheid voor de aanval heeft opgeëist. De boodschap was duidelijk: dit was vergelding. Estland had zijn oorlogsmonument uit het Sovjettijdperk verplaatst en het antwoord was een digitale belegering. Overheidssites werden donker. Banken bevroor. Nieuwskanalen verdwenen. Het was een demonstratie van macht, niet alleen vandalisme.
4 juli en de erosie van vertrouwen
Toen kwam juli. Massale cyberaanvallen legden vanaf 4 juli overheidswebsites plat. De timing was bewust. Onafhankelijkheidsdag. De symboliek ontging niemand. De Huffington Post berichtte over de chaos terwijl deze zich ontvouwde. Kritieke diensten zijn tot stilstand gekomen. Het publieke vertrouwen wankelde.
Dit waren geen geïsoleerde problemen. Het waren gecoördineerde inspanningen. De schaal suggereerde middelen die verder gingen dan amateurgroepen. Het voelde als een repetitie voor iets groters. Een test van hoe ver een natie kon gaan voordat de andere kant met de ogen knipperde.
Hackers zijn volwassen geworden
Kevin Poulsen van Wired zei het ronduit: hackers zijn volwassen geworden. Het tijdperk van de eenzame wolf-codering in Python liep ten einde. Er ontstond een nieuw ras. Beter gefinancierd. Meer gedisciplineerd. Minder geïnteresseerd in glorie, meer geïnteresseerd in impact.
Het ging niet alleen meer om het inbreken in systemen. Het ging om doorzettingsvermogen. Over onder de radar blijven terwijl de hulpbronnen uitgeput raken. Over het begrijpen dat het echte slagveld niet de code was, maar de menselijke reactie.
De zorgen over cybertsaar en privacy
De Amerikaanse regering reageerde. President Obama benoemde een nieuwe ‘cybertsaar’. Het doel? Coördinatie. Bescherming. De oprichting van een speciaal kantoor om de dreiging aan te pakken. Maar er zat een addertje onder het gras. Voorstanders van privacy luisterden aandachtig.
Kim Zetter van Wired meldde dat de nieuwe aangestelde beloofde het internet niet te bespioneren. Die belofte was van cruciaal belang. Als de overheid begint te kijken om te beschermen, begint ze ook te kijken om te controleren. De lijn tussen defensie en surveillance is dun. Dunner dan de meeste beseffen.
Waarom dit er nu toe doet
We beschouwen cybersecurity vaak als een technisch probleem. Dat is het niet. Het is een politieke. De aanvallen in Estland en de VS waren niet alleen IT-storingen. Het waren diplomatieke incidenten die zich afspeelden in serverlogboeken.
De les is eenvoudig maar ongemakkelijk. Digitale soevereiniteit is een illusie. Uw gegevens bevinden zich op servers die u niet beheert, beschermd door wetten die u niet heeft geschreven. Als landen aanvallen, sturen ze geen soldaten. Ze sturen pakketjes. En je kunt je deur niet op slot doen tegen een pakketje.
De hackers zijn opgegroeid. De regeringen zijn ingehaald. Maar de privacy? Dat ligt nog voor het oprapen.
