Cybergruwelen

‘Cyberoorlog staat op uitbreken,’ kopte de krant vorige week. Het klonk bijna opgetogen. Maar zoals nerds al aan het eind van de jaren negentig doorhadden; alles waar het predicaat cyber bijgeplakt werd, was gekunsteld hip of marketingpraat, of erger: allebei. Cybersex. Cybernaut. Of (gruwel) cyberfeminisme. En nu dus: cyberoorlog.

Catastrofale aanvallen staan te wachten, wist de deskundige, de virtuele oorlog is ons voorland. Her en der voeren kwaadwillende clubjes dergelijke aanvallen al uit, overal staat de malware klaar, hield de deskundige ons voor. Het wachten is op een schurkenstaat die al die initiatieven aaneen klinkt, en dan rijst-ie in alle omvang op: de cyberoorlog. Nou, berg je dan maar!

Waarom klonk dat nou bijna verlekkerd?

Misschien omdat de man verdiende aan het spinnen van zulke apocalyptische visioenen: voor HP werkt hij aan de virtuele veiligheid van overheden, en ja, dat concept moet verkocht worden. Of misschien was het omdat het rijtje van verdachte staten dat hij noemde, het aloude rijtje was: Iran, Noord-Korea, China. (Irak is uit de vaste opsomming weggevallen en wordt binnenkort vervangen door ISIS. Of beter: CyberIsis, om nog eens te benadrukken hoe eng ze zijn.)

Opmerkelijk is dat de man Israël en de VS niet in het rijtje plaatste: de twee enige overheden van wie tot nu toe bekend is dat ze doelgericht een computervirus op een ander land hebben losgelaten, Stuxnet, dat onverwacht – maar dat heb je nu eenmaal snel met computervirussen – ook buiten Iran opdook. Dat maakte zijn verhaal ineens wat hol. Oude schurkenwijn verkopen in nieuwe, en dus hoger geprijsde zakken – dat was wat hij deed. De oude riedel: zij zijn de vijand en wij moeten onszelf beter bewapenen. Met cyberbewapening! En we moeten de systemen van de vijand binnendringen om aanvallen te voorkomen!

Terwijl de kwetsbaarheid van computersystemen me zeer aan het hart gaat: een cyberversie van de wapenwedloop propageren is niet de oplossing. Dat pad zadelt ons op met geheime diensten die doelgericht gaten in software laten maken, met spionagediensten die permanent hun bevoegdheden misbruiken, met massasurveillance die tijd, geld en aandacht vreet en amper iets oplevert, met ondoorzichtige en warrige systemen.

Willen we onszelf beter beschermen, dan doen we er goed aan om rustiger om te springen met automatisering, connectiviteit en verknopingen. We zouden cruciale infrastructuur niet op een en hetzelfde netwerk moeten zetten: koppel de elektriciteitscentrales niet aan internet, zorg ervoor dat cash geld in roulatie blijft, zorg voor aparte frequenties, houdt FM in de lucht, en knoop niet alles aan elkaar.

En vooral: we moeten bescheidener worden in onze eisen. Waarom moet een infuuspomp aan het internet? Waarom wil je in hemelsnaam wifi bieden aan vliegtuigpassagiers, wanneer dat de boordcomputer kan compromitteren?

Wie alles aan elkaar knoopt, maakt zichzelf kwetsbaar. Daar is geen aanval voor nodig: een lastige bug volstaat.