Zolang we Amerikaanse software en machines hanteren, zijn we niet beschermd tegen de NSA

De onthullingen van Edward Snowden hebben aangetoond dat de NSA haar job uitstekend doet: de digitale revolutie maakt het mogelijk om massaal informatie te verzamelen, op te slaan en te analyseren onder het motto ‘in God we trust, all others we monitor’. Het rapport van het Europese parlement over Echelon uit 2001 toonde al aan dat NSA meesters zijn in het onderscheppen van communicatie. Daarnaast verzamelt NSA ook meta data: wie communiceert met wie en wanneer, met welk toestel en van op welke locatie.

De onthullingen van Edward Snowden hebben aangetoond dat de NSA haar job uitstekend doet: de digitale revolutie maakt het mogelijk om massaal informatie te verzamelen, op te slaan en te analyseren onder het motto ‘in God we trust, all others we monitor’. Het rapport van het Europese parlement over Echelon uit 2001 toonde al aan dat NSA meesters zijn in het onderscheppen van communicatie. Daarnaast verzamelt NSA ook meta data: wie communiceert met wie en wanneer, met welk toestel en van op welke locatie.

Maar dankzij Snowden weten we dat er meer aan de hand is. Zo werd aan grote cloud-spelers gevraagd om informatie uit de cloud ter beschikking te stellen (het PRISM-programma); daarnaast wordt ook hun interne communicatie onderschept (het Muscular-programma onder controle van de Britse GCHQ). De oplossing hiervoor lijkt eenvoudig: we vercijferen gewoon alle informatie, die over het internet wordt verstuurd en in de cloud wordt opgeslagen: zo blijft ze buiten het bereik van NSA. NSA denkt natuurlijk al een stap verder. Als een internetspeler informatie vercijfert, kan NSA met een zogenaamde security letter de geheime sleutel van de webserver opvragen en verbieden om hierover te communiceren; toen dit gebeurde bij de e-mailprovider Lavabit heeft die besloten om de boeken dicht te doen. Daarnaast heeft NSA geïnvesteerd in het ondermijnen van cryptografische standaarden (zoals EC Dual RNBG); vervolgens hebben ze Amerikaanse bedrijven overtuigd om die standaarden als default in hun producten op te nemen. Tot slot investeren ze massaal in het kraken van de bestaande encryptie-methoden. Informatie echt veilig vercijferen is dus niet zo gemakkelijk. De Europese overheden zijn zelf ambivalent over universele encryptie: dit maakt het ook voor hen moeilijk om informatie te onderscheppen, zelfs als dat volledig binnen een wettelijk kader zou gebeuren. Daarnaast is het zo dat vercijfering wel de data beschermt, maar niet de meta data; hiervoor zijn tools nodig zoals Tor, waarmee je – tot op zekere hoogte – kan verbergen welke websites je bezoekt.

Zelfs als we alles vercijferen, is het nog altijd de bedoeling dat de gebruiker toegang heeft tot de gegevens op zijn computer. Maar het beveiligen van data die verwerkt wordt in een computer is veel moeilijker dan data in transit of in opslag. Waarom is dat zo? Onze computers zijn ongelooflijk complex. De processor heeft een paar honderd miljoen tot meer dan een miljard transistoren. Een operating systeem heeft tussen de 10 en 100 miljoen lijnen code. Daarnaast zijn er nog middleware, drivers, browsers en applicaties. Iedereen in de ict-sector begrijpt dat het onmogelijk is om een dergelijk complex systeem voor een beperkte kostprijs bugvrij te maken. Een fractie van die bugs leidt tot veiligheidsproblemen, die kunnen geëxploiteerd worden. Elk jaar worden er zo duizenden bugs gerapporteerd door de ict-bedrijven; meestal worden de gaten snel gedicht. De georganiseerde misdaad en de overheden hebben zich gestort op het vinden van nieuwe bugs; de eersten om er financieel voordeel uit te halen, de laatsten om gevoelige gegevens te bemachtigen. Voor de NSA moet het ook heel verleidelijk zijn om aan ict-bedrijven te vragen bugs eerst aan hen bekend te maken, of – nog beter – met opzet bijkomende subtiele zwakheden in te bouwen. De ict-industrie begrijpt de risico’s hiervan en zal dit enkel met de grootste tegenzin doen; daarnaast zal dit altijd formeel ontkend worden. De onthullingen van Snowden laten zien dat als NSA optreedt op basis van (geheime) security letters, de bedrijven hierover niet mogen communiceren.

Daarnaast heeft de ‘ship now and patch later’ cultuur geleid tot geregelde automatische updates van alle componenten van onze systemen (tot zelfs de microcode van de processoren). Deze updates kunnen heel gemakkelijk per machine verschillen. Als de NSA er in slaagt om de controle van het updatemechanisme van een ict-bedrijf over te nemen, kan ze dit uitbuiten om elke machine naar haar hand te zetten.

Samengevat, de NSA beperken zich al lang niet meer tot enkel afluisteren; ze gaan over tot actieve aanvallen, waarbij ze de controle over specifieke computers kunnen overnemen. Voor specfieke doelwitten, vooral deze die niet met internet verbonden zijn, voegen ze zelfs bijkomende componenten toe door computers tijdens het vervoer te onderscheppen. Men kan verwachten dat de onthullingen van Snowden andere landen zullen inspireren om even goed of nog beter te doen; het probleem zal dus niet kleiner worden in de volgende jaren.

Er is maar een manier om je te beveiligen in een dergelijke situatie: neem de controle over van het volledig ontwerp van elke component van je machine, van hardware tot software. Enkel dan kan je zeker zijn dat er geen achterpoortjes in zitten. Wat van elders komt, moet grondig geïnspecteerd worden op basis van een volledige beschrijving. Daarnaast heb je ook de volledige controle nodig over de bevoorradingsketen: dat is de enige manier om zeker te zijn dat je computer niet gewijzigd wordt gedurende de productie of het transport. Tot slot moet je ook alle updates controleren. Enkel een groot land of multinational kan zich zo een aanpak veroorloven. De anderen moeten partners zoeken. En de grote vraag is: wie kan je nog vertrouwen?