Belgische ambtenaren leren hacken viel te lezen op de website van Binnenlands Bestuur. Klinkt best wel stoer, kennelijk geen idee wat er zoal bij komt kijken om het te kunnen. Meer aandacht voor digitale veiligheid is een goede zaak, cybercriminelen hebben het vooralsnog gemakkelijk vanwege het amateurisme. Recentelijk meende een bank voor relaties een bijeenkomst te moeten organiseren met Nederlands bekendste hacker. Die had voor het publiek wat tips en de Leeuwarder Courant rapporteerde erover: http://www.lc.nl/friesland/Welke-tips-geeft-Nederlands-beste-hacker-22200842.html . Als de bijeenkomst bedoeld was om meer bewustzijn te genereren voor de gevaren van Internet dan vind ik de benadering weinig professioneel. Bedrijven en organisaties dienen hun ICT te beschouwen als een bedrijfsmiddel en dienovereenkomstig te behandelen. Voor dat doel ontwikkelde het Amerikaanse NIST (National Institute of Standards and Technology) een raamwerk, het is te vinden op: http://www.nist.gov/cyberframework .
Ik zie ambtenaren niet snel inbreken op andermans systemen, je moet wel erg veel kennis van zaken hebben. Ooit kon ik voor een euro per stuk twee boeken getiteld Computernetwerken kopen in de uitverkoop van de Openbare Bibliotheek, ze moesten ruimte maken voor nieuwere edities. Niet dat die nieuwe edities veel anders zijn dan oude edities, het is een van de weinige manieren om aan tijdloos materiaal geld te verdienen. De techniek die ten grondslag ligt aan het Internet verandert niet zo snel. Beide boeken, de een geschreven door Tanenbaum en de andere door Kurose & Ross, zijn standaardwerken van zo’n achthonderd pagina’s. Die van Tanenbaum werkt van de fysieke laag naar de applicatielaag, de andere bewandelt de omgekeerde weg. Surfen op het web en het versturen van elektronische post zijn toepassingen die gebruik maken van protocollen als HyperText Transfer Protocol (HTTP) en SMTP & POP3 voor email. Om complexiteit beheersbaar te houden worden protocollen gestapeld, elke laag heeft een eigen, andere verantwoordelijkheid. Uiteindelijk moeten er nullen en enen verplaatst worden, daarvoor zijn er protocollen in de fysieke laag. Alleen bij glasvezel staat de aan- en afwezigheid van lichtpulsen gelijk aan nullen en enen, in andere gevallen moet een elektromagnetische golf gemoduleerd worden. Dergelijke golven planten zich draadloos of middels een draad als coaxkabel voort. Het zal duidelijk zijn dat draadloos dataverkeer gemakkelijker is af te tappen dan verkeer op een kabel want dat laatste vereist fysieke toegang tot het transmissiemedium. Nederlands bekendste hacker adviseert een mobieltelefoonabonnement met onbeperkte capaciteit, alleen de provider weet dan welk dataverkeer er plaatsvindt. Nuttige tip derhalve.
Cybercriminelen kiezen doorgaans het pad van de minste weerstand, met zwakke wachtwoorden maak je het ze wel erg gemakkelijk. Nooit hetzelfde wachtwoord voor verschillende toepassingen gebruiken. De berichtjes waarmee cybercriminelen hengelen naar persoonlijke gegevens vallen in de categorie ‘social engineering’. De verzenders hopen dat de ontvanger in de verleiding komt om op een linkje te klikken. Ik krijg die berichtjes met bakken, ook al ben ik niet van plan op een linkje te klikken. Sommige, dezelfde elektronische berichtjes worden vanuit verschillende domeinen verzonden, kennelijk kunnen cybercriminelen heel gemakkelijk domeinnamen aan het Domain Name System (DNS) toevoegen omdat ze zelf daartoe geautoriseerd zijn of anderszins een mogelijkheid hebben. Ook zij laten sporen na in de fysieke wereld en derhalve te traceren.
Met de digitale veiligheid is het in Nederland niet best gesteld, de kans dat ambtenaren leren hacken lijkt mij niet groot. Ook al heb je beide genoemde boeken doorgewerkt, dan kun je nog steeds niet zomaar een ander systeem binnen komen. Daaromtrent ga ik u niet wijzer maken, nodig die hacker maar eens uit voor een beter verhaal.
