Cyberwarfare is "bullshit" en bedrijven die zich hiermee bezighouden zijn geldkloppers, aldus de gerenommeerde beveiligingsexpert Marcus Ranum. Hij sprak tijdens het Govcert Symposium afgelopen maandag in Rotterdam. De organisatie had de vermelding van zijn lezing netjes afgekort tot Cyberwarfare is BS en geen "pepers" gegeven, de technische moeilijkheidsgraad van een lezing. Toch was de lezing van Ranum daardoor niet minder gepeperd.

De CSO van Tenable Network Security moet lachen om ambtenaren en agenten van de FBI die waarschuwen voor tienduizenden Chinese cybersoldaten die continu Amerikaanse overheidsnetwerken zouden aanvallen. In plaats van grappen over het onderwerp te maken, koos Ranum nu een meer academische kant om cyberoorlog onderuit te halen. Profeten van cyberoorlog maken volgens de expert een radicale denkfout door te denken dat als cyberoorlog in theorie mogelijk is, het ook praktisch en zinvol is. Bij alle scenario's en verhalen moeten we continu in ons achterhoofd houden of deze bullshit ergens op slaat, waarschuwde Ranum. "Als deze bullshit ergens op slaat, dan kun je kijken wat er mogelijk gaat gebeuren."

Het belangrijkste argument van Ranum tegen cyberoorlog is dat als het zinvol zou zijn, het continu zou plaatsvinden. Sommige mensen zeggen dan dat het al continu plaatsvindt. "Maar het gebeurt niet continu." Er gebeuren volgens Ranum verschillende dingen, die allemaal onder de noemer cyberoorlog worden geschaard. "Het is hetzelfde als ik tegen een vegetariër zou zeggen dat er drie verschillende voedselgroepen zijn: groente, vlees en pizza en dat ze eigenlijk allemaal hetzelfde zijn."

Geldklopperij
Voorstanders van cyberoorlog pakken de drie onderwerpen misdaad, terrorisme en oorlog, en gooien die voor hun eigen gewin op één hoop. "Wat er gebeurt, is dat er een gigantische hoeveelheid geld van de belastingbetaler in de zakken van de cyberoorlogconsultant verdwijnt. Dat is slechts een toevalligheid." Ranum merkt op dat het belangrijk is om naar de verschillende agenda's te kijken als het gaat om cyberterrorisme, cyberspionage, cybercrime en cyberoorlog. Dat zijn namelijk vier compleet verschillende zaken. "En als iemand tegen je vertelt dat ze hetzelfde zijn, dan liegen ze tegen je. De reden dat ze tegen je liegen, is dat de agenda's van de spelers verschillend is." Niet alleen hebben de betrokken spelers een andere agenda, ze doen ook andere dingen en liggen vaak in elkaars vaarwater.

Cybercriminelen breken in een systeem om geld te stelen, wat haaks staat op de actie van de cyberwarrior. Die wil in belangrijke systemen inbreken om ze op een gegeven moment te laten crashen of ze niet naar behoren te laten functioneren. Dat staat weer haaks op wat een cyberspion doet. Die wil de systemen van de vijand kennen om daar informatie uit te halen. Een aanhanger van cyberoorlog zou dit allemaal kenmerken van een cyberoorlog noemen, maar dat is het niet laat Ranum weten. "Het zijn allemaal verschillende dingen die op elkaars tenen trappen. Dus hoe kunnen we ze hetzelfde noemen? We zouden ze hetzelfde noemen als we consultants zijn die hier geld aan proberen te verdienen."

Cybercrime
De agenda van een cybercrimineel is om geld voor zichzelf te verdienen. Als bijwerking zie je dat cybercriminelen op elkaars tenen trappen. Cybercriminelen hebben er ook geen probleem mee om van elkaar te stelen. De doelen van de cybercrimineel zijn niet strategisch. "Ze doen alleen hit and run, ze pakken het geld en gaan ervandoor." De cybercrimineel heeft later altijd weer de mogelijkheid om opnieuw geld te stelen. Een cybersoldaat die iemand gaat aanvallen, gaat daarbij niet over een nacht ijs. "Je zou stom zijn als je dat zomaar doet." Ten eerste zou het technisch lastig zijn om zomaar uit te voeren. Ten tweede speelt de strategische vraag wie je gaat aanvallen. "Het is gigantisch kostbaar en gewoon heel stom om alle commando centra van alle landen in de wereld aan te vallen. Dat is absurd."

Een cybersoldaat zou dan ook een politieke opdracht van de politieke leiders in het land moeten hebben om te bepalen wie het doelwit voor de cyberoorlog is. En dat is volgens Ranum helemaal niet zo duidelijk. Als het gaat om cyberoorlog worden allerlei belangrijke vragen vergeten. Zoals met wie er een cyberoorlog is en waarom. Vaak lopen de waarschuwingen voor cybercrime en cyberoorlog door elkaar heen. Maar de aanvallen die cybercriminelen uitvoeren, maken het alleen maar lastiger voor cybersoldaten. Door de acties van criminelen beveiligen overheden en bedrijven hun netwerken steeds beter. Daarnaast twijfelt Ranum aan de capaciteiten van alle drieletterige instanties. Hij vermoedt dat de kennis en vaardigheden van het Russian Business Network, een beruchte cybercrime bende, beter zijn dan wat de NSA en andere inlichtingendiensten hebben te bieden. De criminelen verdienen honderdduizenden dollars, terwijl de CIA en NSA slechts overheidscontractanten zijn.

Cyberterrorisme
Is cyberterrorisme mogelijk? "Natuurlijk is het mogelijk", laat Ranum de zaal weten. "Alles is mogelijk. De vraag is, wat gaat er zeer waarschijnlijk gebeuren?" De agenda van een cyberterrorist is om zoveel mogelijk schade te veroorzaken. Cybercriminelen zijn niet ideologisch. "Je kunt ze zelfs omkopen, zolang ze maar hun geld verdienen." De mensen met ideologieën willen je pijn doen, ongeacht of dit winstgevend is of niet. Als deze twee partijen je willen aanvallen, bevind je je in een omgeving waar mensen je gewoon te grazen willen nemen, ongeacht wat je doet. Als je je hier tegen wil verdedigen, wil je je tegen allebei verdedigen, gaat Ranum verder.

"Cyberterroristen willen angst verspreiden. Partijen die voor cyberterrorisme waarschuwen geven als voorbeeld het hacken van reserveringssystemen voor vliegtuigen. "Maar een vulkaan is er veel beter in om het vliegverkeer te ontregelen. En toch zijn we er nog allemaal."

Cybercriminelen vallen alles aan dat geld oplevert, terwijl de cyberterroristen alles in potentie kunnen aanvallen. Er is hier een overlap, maar geen ideologische overlap. De grote paradox met cyberterror is de vraag waarom het nog niet gebeurt. "Het kost mij twee seconden om een nieuwe cyberterreur aanval te verzinnen. Ik kan er zelfs vijf verzinnen, maar ik ga ze niet noemen, omdat ze niet zullen plaatsvinden. Waarom vinden ze niet plaats? Dat weet ik niet. Waarschijnlijk bezoeken de terroristen van de wereld geen beveiligingsconferenties, want er is altijd wel iemand die bij dit soort evenementen zegt hoe je de Amerikaanse infrastructuur kunt platleggen."

Een ander probleem met de 'cyberterror paradox' is dat de grote doelwitten zich ook het beste kunnen verdedigen en op aanvallen reageren. Vaak wordt als voorbeeld van een "cyberoorlog" de aanvallen op Estland genoemd. "Maar dat is geen cyberoorlog" merkt Ranum op. "We kunnen het een cyberterror aanval of iets dergelijks noemen." Estland is een technisch begaafd land en kon snel op de aanval reageren, in plaats dat het op de rug ging liggen en dood speelde.

Cyberspionage
Naast cybercrime en cyberterrorisme is er ook het cyberspionage probleem. Ranum wijst naar de Koude Oorlog, waarbij de KGB bijna alle Amerikaanse inlichtingendiensten had geïnfiltreerd. "De beste manier om kapitalisten te verslaan is met een zak geld. Daarvoor heb je helemaal geen fancy cyber-wat dan ook voor nodig." Een tijd geleden werd bekend dat iemand de plannen voor de JSF had gestolen. Die gegevens zijn niet via FTP buitgemaakt of verstuurd. Het ging om 14 Terabyte aan gegevens. "Hij heeft ze waarschijnlijk op een grote lading harde schijven meegenomen." Als de Amerikaanse overheid het over dit incident heeft, bedoelen ze volgens Ranum dat iemand de informatie op harde schijven meenam en vervolgens ergens online plaatste. "De gegevens waren via het internet te vinden." Dat is een heel ander verhaal.

Spionage is door het internet niet erg veel veranderd en de basisprincipes gelden dan ook nog steeds. De kern van een spionage-operatie is dat de vijand zijn agenten bij het doelwit heeft zitten, omdat die weten welke informatie interessant en belangrijk is. Ze hebben tenslotte toegang tot de gegevens. Een voorbeeld is soldaat Manning die toegang tot veel te veel gegevens had, ze stal en vervolgens aan Wikileaks lekte.

"Als de overheid zegt dat je bang moet zijn voor cyberspionage. Moet je zeggen 'soldaat Manning, jullie zijn idioten'. Het probleem is niet Chinese spionnen die oorlogsplannen stelen, maar een Amerikaanse jongen die ze online zet."

Cybersoldaten
Cybersoldaten hebben als doel het aanvallen en vernietigen of beschadigen van belangrijke systemen. "Het lijkt erop dat de voorstanders van cyberoorlog Die Hard 4 hebben gezien en dachten dat het een documentaire was." Als je cyberoorlog als een militaire kunst beschouwt, zijn er verschillende paradoxen die nergens op slaan. Net als de mensen die over cyberoorlog spreken ben ik een 'armchair general'. "Net als andere armchair generals heb ik Sun Tzu's art of war gelezen."

Wat Ranum het meest beangstigt van mensen die over cyberoorlog spreken, is dat ze de belangrijke aspecten van oorlogsvoering negeren. "Het is alsof je over chirurgie praat zonder je patiënt aan te raken. Op dat niveau worden door voorstanders van cyberoorlog belangrijke onderdelen van the Art of War genegeerd."

Zoals de logistiek. "Als het idioten zijn, dan zeggen ze dat er niemand van het ene naar het andere punt moet, en er dus geen logistieke problemen zijn." Ranum ziet ook niets in cyberoorlog als een zinnige toevoeging aan de oorlogsvoering. "Ik heb mensen horen zeggen dat het een geheel nieuwe vorm van oorlogvoeren is, maar dat is complete bullshit. De mensen die dit beweren zeiden ook dat ze een oorlog alleen met de luchtmacht konden winnen."

Morgen het tweede deel van Marc Ranums visie over cyberoorlog.