Het internet kent geen grenzen, de beveiliging ervan jammer genoeg wel

Vorige vrijdag werd de hele wereld opgeschrikt door een massale cyberaanval die minstens 200.000 slachtoffers in 150 landen maakte. Ziekenhuizen en banken konden niet meer bij hun computerbestanden, tenzij ze 300 dollar losgeld aan de criminelen betaalden. Vooral landen waar verouderde versies van Windows in gebruik zijn, werden hard getroffen.

WanaCryptOr – de naam van de cyberaanval – bewijst dat de cyberdreiging reëel is en vooral geen grenzen kent. “Laat dit een wake-upcall voor Europa en de rest van de wereld zijn”, zegt Bart Preneel (KU Leuven), een wereldvermaarde security-expert . “Als we een samenleving willen die afhankelijk is van software, zullen we ook voldoende middelen moeten voorzien om erger te voorkomen.”

Vandaag beperken cyberaanvallen zich nog tot computers en smartphones, maar in de nabije toekomst is ook de zelfrijdende auto afhankelijk van het wereldwijde web.

Slechte bedoelingen

Europol noemde de aanval van vrijdagavond de grootste in omvang ooit, maar Preneel is niet onder de indruk. "Technisch gezien is WanaCryptOr geen hoogvlieger, het gaat om software die je zonder problemen kunt kopen op het internet. Iemand met de juiste skills en slechte bedoelingen kan heel wat schade aanrichten."

De cyberexpert wijst erop dat de impact van de aanval meevalt. "Het gaat hier om een criminele organisatie die snel veel geld wilde verdienen. Daarvoor richtte ze haar pijlen op verouderde Windows-software."

Preneel vreest vooral meer gesofisticeerde aanvallen die voor politieke doeleinden worden ingezet. “Het is niet ondenkbaar dat je met een goed uitgekiende strategie het volledige internet van een land platlegt.”

Dat betekent niet alleen dat burgers hun Facebook niet meer kunnen checken. Overheden, banken en ziekenhuizen worden in een klap minder toegankelijk. Vrijdag moesten eerstehulpposten bijvoorbeeld patiënten weigeren. Ook de economische gevolgen van een internetblack-out zijn niet te overzien.

Onderbemand

Een 'silver bullet', een ultiem wapen, om de cyberdreiging in de kiem te smoren bestaat niet. Daarvoor is het probleem veel te complex. Samenwerking is volgens Preneel dan ook essentieel.

Zo bestaat er al een Europees agentschap voor netwerk- en informatiebeveiliging (ENISA), maar dat heeft alleen een coördinerende functie. "Het hoofdkwartier van ENISA ligt op Kreta, ver weg van het Europese epicentrum", weet Preneel. Het agentschap is onderbemand en krijgt volgens hem te weinig middelen om een antwoord te bieden op de cyberuitdagingen.

Elke lidstaat is verantwoordelijk voor haar eigen nationale veiligheid. Een concept dat volgens Preneel niet meer van deze tijd is. "Het netwerk kent geen grenzen. In de verschillende lidstaten is er al heel wat expertise over cyber-security. Maar als we de koppen niet snel bij elkaar steken, blijven we hopeloos achterophinken.”

Vorige maand maakten onze cybersecuritydiensten een partnerschap met No More Ransom bekend, een initiatief van Europol en de Nederlandse politie om ransomware wereldwijd te bestrijden.

Meer verantwoordelijkheid

Welke oplossingen zijn er dan te bedenken? “In de eerste plaats zouden overheden ermee moeten stoppen software te ontwikkelen die bedoeld is om te hacken”, pleit Preneel. Zo doen politiediensten maar al te graag een beroep op gespecialiseerde computerbedrijven die de overheid helpen om communicatie van internetgebruikers te onderscheppen. “Maar iedereen kan gehackt worden, zelfs de Amerikaanse veiligheidsdienst NSA.”

Daarnaast kan Europa meer verantwoordelijkheid opleggen aan soft- en hardwareproductenten. Preneel maakt de vergelijking met de auto-industrie. “Voor een auto de openbare weg op mag, moet die aan allerlei veiligheidsvoorschriften voldoen. Bij software is dat op dit moment nog veel te weinig het geval."

Wanneer bekendraakt dat er problemen zouden kunnen zijn met de airbag van een wagen, wordt er geen risico genomen: bestuurders worden gevraagd hun wagen te laten controleren. "Met software zou je een soortgelijke procedure kunnen uittekenen." Preneel denkt niet alleen aan een strenger toezicht bij het lanceren van nieuwe software, ook een jaarlijkse controle is geen overbodige luxe.

Dat het controleren van een eindeloos aantal lijnen programmeertaal te duur zou zijn voor soft- en hardwareproducenten is volgens Preneel geen argument. “Je mag de verantwoordelijkheid niet bij de burgers leggen, zij kunnen hoogstens een minimale dosis digitale hygiëne aan de dag leggen."